Самое смешное в этом кейсе, что окончательно докопавшись до правды, я выяснил, что пробив был такой:

1. Заход под сервисной учетной записью в вебку сервиса
2. С помощью встроенного функционала сервиса выполнение команд на хосте
Никакого 0day, никакой сложной эксплуатации. Как обычно: утекшие креды -> пробив.

Очередное напоминание, что чаще всего не нужно искать сложность, все на поверхности...