USA küberturvalisuse ja infrastruktuuri turbe agentuur CISA kutsus kõiki SharePointi kasutavaid organisatsioone tugevdama oma kaitset pärast aktiivselt ärakasutatavate turvanõrkuste avalikustamist. Hoiatus puudutab kõiki toetatud SharePoint Serveri kohapealseid versioone.
CISA tõi eraldi välja kolm turvanõrkust: võltsimisviga CVE-2026-32201, mille Microsoft avalikustas märtsis ja mille aktiivset ärakasutamist kinnitati juunis; kaugkäivitusviga CVE-2026-45659, mida Microsoft pidas algselt vähetõenäoliselt ärakasutatavaks, kuid mille rünnakuid kinnitati eelmisel nädalal; ning värskeim, õiguste laiendamise viga CVE-2026-56164. Lisaks nimetati kahte kriitilist viga viimasest Patch Tuesday uuenduspaketist, mis pole veel rünnakute all, kuid mida Microsoft peab tõenäoliselt ärakasutatavaks.
Ründajad varastavad Internet Information Servicesi (IIS) võtmeid ja kasutavad deserialiseerimist, et saavutada püsiv juurdepääs ja paigaldada pahavara. CISA soovitab paigaldada Microsofti turvapaigad, lubada AMSI-integratsiooni, otsida sissetungi märke, vahetada IIS-i võtmed ning blokeerida väline juurdepääs SharePointi keskadministratsioonile. Varasemad ToolShelli rünnakud on omistatud Hiina riiklikele häkkerirühmitustele.