CISA begründet die Aufnahme der vier Einträge in den KEV-Katalog damit, dass die Schwachstellen bereits „in freier Wildbahn“ ausgenutzt werden. Welche vier Einträge konkret aufgenommen wurden, nennt der Quelltext nur auf Produktebene: Apple macOS, Microsoft SharePoint, VMware vCenter und Microsoft Internet Key Exchange. Dass die Lücken dennoch relevant bleiben, liegt laut Vorlage daran, dass sie trotz verfügbarer Updates bereits Gegenstand aktiver Angriffe geworden sind.
Für die Schwachstelle in Apple macOS heißt es, dass sie zur Verbreitung eines Monero-Kryptominers missbraucht wurde. Bei der SharePoint-Lücke berichten öffentliche Quellen laut Quelltext von Angriffen durch unbekannte Akteure, nachdem ein Proof-of-Concept-Code veröffentlicht worden war. Weitere technische Details zu diesen beiden Fällen nennt die Vorlage nicht.
Ausführlicher fällt die Beschreibung der Angriffe auf VMware vCenter aus. Demnach wird die dortige Schwachstelle einem mutmaßlich China-nahen Advanced Persistent Threat zugeschrieben. Dieser habe eine Backdoor sowie reverse_ssh-Binärdateien auf kompromittierten Instanzen abgelegt, um dauerhaften Zugriff zu sichern. In mindestens einem dokumentierten Fall führte die Kampagne außerdem zur Installation einer von Babuk abgeleiteten Ransomware.
Insgesamt wurden bei dieser Aktivität 361 eindeutige Opfer-IP-Adressen in 47 Ländern kompromittiert. Die meisten Infektionen entfielen laut Quelltext auf Deutschland mit 55 Fällen, gefolgt von den USA mit 41, der Türkei mit 38, Iran mit 26 und Frankreich mit 25.
Auch CVE-2026-33824 wird im Quelltext ausdrücklich genannt. Nach Angaben von Palo Alto Networks Unit 42 wurde diese Schwachstelle von einem weiteren chinesischsprachigen Bedrohungsakteur ausgenutzt. Dieser soll zeitgleich eine KI-gestützte autonome Hacking-Kampagne mit DeepSeek betrieben und manuelle Operationen unter Einsatz bekannter Schwachstellen durchgeführt haben, darunter auch Microsoft Internet Key Exchange.
Für Behörden des Federal Civilian Executive Branch setzt CISA nun eine Frist: Sie müssen betroffene Systeme bis zum 21. August 2026 auf den neuesten Stand bringen und die Patch-Vorgaben aus BOD 26-04 einhalten. Die Behörde verknüpft die Aufnahme in den KEV-Katalog damit direkt mit verbindlichen Update-Anforderungen für diese Einrichtungen.