Специалисты Varonis Threat Labs обнаружили уязвимость SearchLeak CVE-2026-42824 с оценкой 7.5 по шкале CVSS 3.1 в Microsoft 365 Copilot Enterprise. В основе атаки — сочетание сразу трёх проблем: инъекция команды через параметр URL, кратковременный рендеринг вредоносного HTML до срабатывания защиты и использование серверных запросов Bing.
Злоумышленник отправлял жертве обычную ссылку на microsoft.com со специально подготовленным поисковым запросом. Copilot воспринимал параметр в адресе как инструкцию и начинал самостоятельно искать данные в почте, календаре, SharePoint и OneDrive конкретного сотрудника.
Прямую отправку данных блокировала политика безопасности содержимого Microsoft 365, однако в списке разрешённых доменов находился Bing. Его функция поиска по изображению принимала ссылку и сама обращалась к серверу атакующего — так Bing становился промежуточным каналом, через который уходили украденные данные.