A execução remota de código é possível no MSHTML, o mecanismo de renderização de navegador usado pelo Microsoft Internet Explorer e hospedado em documentos do Microsoft Office. O problema decorre de um gerenciamento incorreto da geração de código. Um invasor pode explorar isso criando um controle ActiveX malicioso e incorporando-o em um documento do Microsoft Office. Se um usuário for convencido a abrir o documento, o invasor poderá executar código arbitrário no sistema. Usuários com direitos administrativos são mais gravemente impactados do que aqueles com direitos de usuário restritos. A exploração no mundo real foi observada em ataques direcionados por grupos patrocinados por estados, como o APT 35, e foi utilizada para implantar o spyware MerkSpy para monitorar atividades e capturar informações sensíveis.