Die Schwachstelle liegt im Remote-Desktop-Protokoll (RDP) von Windows, über das Nutzer sich per Netzwerk auf entfernten Systemen anmelden. Ursache ist die Verwendung einer nicht initialisierten Ressource: Ein Speicherbereich wird ausgewertet, bevor er mit definierten Werten belegt wurde, sodass sein Inhalt unvorhersehbar ist. Ein Angreifer kann diesen Zustand über das Netzwerk gezielt herbeiführen und dadurch eigenen Code auf dem betroffenen System ausführen. Eine gültige Anmeldung ist dafür nicht erforderlich, der Angriff erfolgt aus der Ferne gegen den erreichbaren RDP-Dienst. Gelingt die Ausnutzung, kann der Angreifer Programme im Kontext des Dienstes starten und damit die Kontrolle über das System erlangen. Besonders exponiert sind Systeme, deren RDP-Zugang direkt aus dem Internet erreichbar ist – ein Angriffsweg, der bei Fernwartung und Homeoffice-Zugängen häufig offensteht.