Die Schwachstelle CVE-2026-42824 bestand nach Varonis aus drei kombinierten Fehlern. Eine manipulierte Suchanfrage, eine Race Condition beim HTML-Rendering und eine Server-Side Request Forgery über die Bing-Bildersuche ermöglichten zusammen den Zugriff auf Copilot-verarbeitete Inhalte.
Ein präparierter Link genügte laut Analyse für den Start der Kette. Daten aus E-Mails, OneDrive und SharePoint konnten über Server-Logs des Angreifers abfließen; für die betroffene Person blieb dieser Abfluss unsichtbar. Varonis dokumentierte die Offenlegung und die Persistenz des Zugriffs in den Folgesitzungen.
Die Recherche belegt nicht eindeutig, wann Microsoft alle Teilfehler behoben hatte. SearchLeak ist deshalb ein Hinweis auf die Kombination aus Webschwächen und breiten Copilot-Berechtigungen, keine Aussage über einen weiterhin offenen Dienst.