CVE-2026-50522 : SharePoint désérialisation RCE non-auth KEV

Les faits

CVE-2026-50522 est une vulnérabilité critique de désérialisation de données non fiables (CWE-502) affectant Microsoft SharePoint Server dans ses déclinaisons on-premises. Avec un score CVSS 3.1 de 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), cette faille permet à un attaquant distant non authentifié d'exécuter du code arbitraire sur le serveur SharePoint en envoyant des données sérialisées malveillantes. Elle a été corrigée par Microsoft dans le Patch Tuesday de juillet 2026 (14 juillet 2026), mais l'exploitation active a débuté peu après la publication d'un exploit public, forçant le CERT-FR à émettre l'alerte CERTFR-2026-ALE-008 en août 2026.

La vulnérabilité exploite un chemin de traitement réseau côté serveur dans lequel SharePoint désérialise des données entrantes sans validation suffisante de leur intégrité ou de leur origine. Un attaquant peut soumettre un objet sérialisé .NET spécialement forgé à l'endpoint SharePoint exposé, déclenchant l'exécution de code lors du processus de désérialisation. Ce type de vulnérabilité est particulièrement dangereux car il ne laisse aucune trace évidente dans les logs applicatifs et peut être déclenché sans aucun compte utilisateur valide.

L'équipe de recherche WatchTowr a publié une analyse détaillée de l'exploitation observée in-the-wild, révélant une technique d'attaque particulièrement sophistiquée : les attaquants utilisent CVE-2026-50522 pour exfiltrer les machine keys SharePoint en une seule requête HTTP. Ces clés cryptographiques, stockées dans la configuration du serveur web, permettent à SharePoint de signer et valider les ViewState et les tokens d'authentification Forms. Une fois en possession de ces clés, un attaquant peut forger des ViewState malveillants signés valides pour d'autres serveurs SharePoint de la même ferme, maintenant ainsi un accès persistant même après l'application du patch CVE-2026-50522.

La chronologie de l'exploitation est préoccupante : le patch Microsoft est sorti le 14 juillet 2026 ; un premier PoC incomplet a été publié sur GitHub le 22 juillet, rapidement suivi d'exploits fonctionnels le 28 juillet. WatchTowr a observé les premières exploitations automatisées à grande échelle dès le 1er août 2026. Le CERT-FR, constatant l'impact sur des organisations françaises, a publié l'alerte CERTFR-2026-ALE-008 le 19 août 2026 — plus de cinq semaines après la publication du patch — soulignant le retard de patching structurel dans de nombreuses organisations.

Une deuxième vulnérabilité, CVE-2026-58644 (également désérialisation SharePoint, corrigée dans le même Patch Tuesday), a été documentée en parallèle. Contrairement à CVE-2026-50522, elle requiert des privilèges de Site Owner pour être exploitée mais offre les mêmes capacités de RCE. Rapid7 a confirmé l'exploitation active de CVE-2026-58644 séparément, créant une double menace sur les déploiements SharePoint on-premises. L'alerte CERTFR-2026-ALE-008 couvre les deux CVE.

Les techniques d'exfiltration des machine keys représentent un vecteur de persistance particulièrement insidieux. Même après application du patch, si les machine keys n'ont pas été régénérées, un attaquant ayant préalablement exfiltré ces clés peut continuer à forger des tokens valides indéfiniment. Rapid7 recommande explicitement de régénérer les machine keys (machineKey) dans le fichier web.config de toutes les applications SharePoint après patching — une étape souvent omise dans les procédures de remédiation standard.

Microsoft 365 (SharePoint Online) n'est pas affecté par CVE-2026-50522, la faille ne touchant que les déploiements on-premises. Cependant, de nombreuses organisations ont des configurations hybrides SharePoint où le serveur on-premises est connecté à Microsoft 365. Dans ces scénarios, la compromission du SharePoint on-premises peut être utilisée comme pivot vers l'environnement cloud via les connecteurs hybrides et les comptes de service partagés.

Impact et exposition

Les organisations maintenant des instances SharePoint Server on-premises non patchées depuis juillet 2026 sont exposées à une exploitation immédiate. Les secteurs les plus touchés selon les rapports d'incident disponibles sont les administrations publiques, les collectivités territoriales, les établissements de santé et les grandes entreprises industrielles ayant retardé leur migration vers SharePoint Online. En France, ce profil correspond à une large fraction des organisations utilisant SharePoint dans des environnements réglementés ou à données sensibles.

Le vol de machine keys est particulièrement grave car il transforme une vulnérabilité patchable en une compromission de long terme difficile à détecter. Un attaquant disposant des machine keys peut forger des requêtes authentifiées comme n'importe quel utilisateur — y compris les administrateurs — sans exploiter à nouveau la vulnérabilité initiale. Cela lui permet de rester indétectable pendant des semaines ou des mois, en accédant aux documents confidentiels, aux listes SharePoint et aux sites d'équipe.

L'exposition est aggravée par le fait que de nombreuses organisations ont exposé leur SharePoint sur Internet via des portails publics, des extranets partenaires ou des solutions de télétravail. Les serveurs accessibles directement sur Internet sans authentification préalable (OWA bypass, ADFS exposé) représentent les cibles les plus immédiates. Les environnements utilisant des load balancers ou des proxies inverses qui ne filtrent pas les payloads de désérialisation sont également vulnérables.

Recommandations immédiates

• Appliquer le correctif de sécurité Microsoft du Patch Tuesday juillet 2026 pour SharePoint — Microsoft Security Update Guide : CVE-2026-50522 et CVE-2026-58644 (Security Advisory juillet 2026)
• Régénérer impérativement les machine keys SharePoint après patching : modifier les attributs validationKey et decryptionKey dans le fichier web.config de toutes les applications SharePoint de la ferme, puis redémarrer IIS
• Rechercher des signes d'exfiltration antérieure : analyser les logs IIS à la recherche de requêtes POST volumineuses vers les endpoints /_vti_bin/ ou de réponses contenant des données structurées inhabituelles entre le 22 juillet et la date de patching
• Isoler temporairement le SharePoint on-premises d'Internet si le patch ne peut être appliqué immédiatement, en restreignant l'accès via un VPN ou des règles pare-feu
• Pour les environnements hybrides : auditer les comptes de service connecteurs hybrides et surveiller les connexions anormales vers Microsoft 365 depuis le serveur on-premises
• Contacter le CERT-FR (cert.ssi.gouv.fr) et déclarer tout incident conformément à la réglementation NIS2 pour les opérateurs concernés