CVE-2026-50522 : SharePoint Server RCE non-auth CVSS 9.8

Les faits

La vulnerabilite CVE-2026-50522 constitue l'une des menaces les plus severes ayant cible l'infrastructure Microsoft SharePoint en 2026. Avec un score CVSS v3.1 de 9.8 et un vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, cette faille d'execution de code a distance (RCE) atteint le seuil critique le plus eleve : vecteur reseau, complexite faible, aucun privilege requis, aucune interaction utilisateur necessaire, impact total sur la confidentialite, l'integrite et la disponibilite des systemes cibles. Elle a ete repertoriee et analysee par NVD/NIST, Censys, WatchTowr et SecurityWeek.

La racine technique de la vulnerabilite reside dans la gestion defaillante des donnees non fiables lors du processus de deserialisation .NET au sein de la classe SessionSecurityTokenHandler de SharePoint. Cette classe est responsable du traitement des jetons de securite de session dans le flux d'authentification WS-Federation. En raison d'une validation insuffisante avant la deserialisation, un attaquant distant peut forger un SecurityContextToken malveillant, l'encapsuler dans une reponse de connexion WS-Federation et le poster vers l'endpoint /_trust/default.aspx de SharePoint. Le serveur traite alors la charge utile via le mecanisme BinaryFormatter du framework .NET, lequel est notoirement dangereux lorsqu'applique a des donnees non fiables provenant du reseau.

Le mecanisme d'exploitation concret s'appuie sur une technique de type deserialization gadget chain : un payload PowerShell encode un objet .NET malveillant au format BinaryFormatter, le transforme en Base64 et l'insere comme valeur de cookie dans une requete HTTP forgee. A la reception, SharePoint deserialise ce cookie sans verification cryptographique prealable, declenchant l'execution de code arbitraire avec les privileges du processus IIS hebergeant SharePoint. Dans la majorite des deploiements enterprise, ce compte de service dispose de droits etendus sur les bases de donnees SharePoint et souvent sur l'Active Directory environnant. L'analyse de ce vecteur d'attaque a ete publiee par IONIX Threat Center et confirmee par SecurityAffairs.

La divulgation publique du proof-of-concept (PoC) s'est produite le 20 juillet 2026, et les premieres exploitations in-the-wild ont ete confirmees dans les heures qui ont suivi, selon les analyses publiees par WatchTowr. Cette rapidite d'exploitation illustre la maturite operationnelle des groupes de menaces ciblant les infrastructures Microsoft. L'advisory Censys du 17 juillet 2026 mentionnait egalement une seconde vulnerabilite associee, CVE-2026-58644, qui renforce la surface d'attaque globale sur les serveurs SharePoint On-Premises.

L'un des aspects les plus preoccupants de cette campagne d'exploitation concerne l'objectif post-exploitation privilegie par les attaquants : le vol des machine keys de SharePoint. Ces cles cryptographiques — stockees dans la configuration IIS et utilisees pour chiffrer et signer les jetons de session, les donnees ViewState et les artefacts cryptographiques SharePoint — permettent a un attaquant de forger des tokens valides de maniere permanente, meme apres l'application du correctif de securite. Une organisation qui patche son serveur sans effectuer une rotation des machine keys demeure exposee a des attaques via des tokens forges signes avec les cles volees, rendant le patch seul insuffisant pour une remediation complete. Ce comportement a ete documente par WatchTowr dans ses analyses forensics d'incidents post-exploitation SharePoint 2026.

La chronologie de la vulnerabilite merite une analyse precise. Microsoft a integre le correctif dans le Patch Tuesday de juillet 2026, avant la divulgation publique du PoC. Cependant, le delai entre la publication du patch officiel et la divulgation publique de l'exploit — de l'ordre de quelques jours — a laisse une fenetre d'exploitation critiquement courte pour les equipes securite dont les cycles de deploiement de correctifs s'etendent generalement sur plusieurs semaines en environnement de production. Cette fenetre a ete immediatement exploitee par des acteurs opportunistes ayant procede a l'ingenierie inverse du patch pour reconstituer le vecteur d'attaque.

Du point de vue technique, le mecanisme de deserialisation dangereux via BinaryFormatter est un probleme architectural connu depuis plusieurs annees dans l'ecosysteme .NET. Microsoft a officiellement deprecie BinaryFormatter dans .NET Core depuis .NET 5, mais des vestiges de son utilisation persistent dans des applications heritees comme SharePoint On-Premises pour des raisons de compatibilite ascendante. Cette CVE illustre de maniere exemplaire les risques a long terme de la dette technique dans les produits enterprise : des mecanismes de serialisation obsoletes et intrinsequement dangereux, maintenus pour garantir la compatibilite avec des personnalisations historiques, deviennent des vecteurs d'attaque critiques lorsqu'exposes a des donnees non fiables en provenance du reseau public.

Les versions affectees couvrent les trois branches On-Premises encore largement deployees dans les environnements enterprise : SharePoint Enterprise Server 2016, SharePoint Server 2019 et SharePoint Server Subscription Edition. SharePoint Online (Microsoft 365) n'est pas concerne par cette vulnerabilite, Microsoft ayant migre les composants d'authentification de SharePoint Online vers des implementations modernes et securisees. Selon les donnees de telemetrie publiees par Censys et Shodan debut aout 2026, plusieurs dizaines de milliers de serveurs SharePoint On-Premises restent exposes sur Internet, representant une surface d'attaque considerable et directement exploitable pour les acteurs de la menace disposant du PoC public.

Impact et exposition

CVE-2026-50522 affecte directement toute organisation maintenant un deploiement SharePoint Server On-Premises accessible depuis Internet ou depuis un reseau non suffisamment segmente. Les entreprises qui n'ont pas encore applique les correctifs de juillet 2026 sont exposees a une compromission complete de leur serveur SharePoint, avec execution de code arbitraire sous le contexte du compte de service IIS. Dans la majorite des deploiements enterprise, ce compte dispose de droits d'administration sur les bases de donnees SharePoint et d'un acces etendu aux ressources Active Directory environnantes, transformant une compromission SharePoint en point d'entree vers l'ensemble du systeme d'information.

La condition d'exploitation est particulierement alarmante par sa simplicite : aucune authentification prealable n'est requise, et l'attaque peut etre lancee depuis Internet sans interaction de l'utilisateur cible. Tout serveur SharePoint exposant son endpoint /_trust/default.aspx sur un reseau accessible est vulnerable. La disponibilite d'un PoC public automatise en PowerShell abaisse considerablement la barre technique pour les attaquants opportunistes, qui peuvent desormais scanner et exploiter massivement des serveurs SharePoint sans expertise approfondie en deserialisation .NET. Des outils d'exploitation automatisee de CVE-2026-50522 ont deja ete identifies sur des forums cybercriminels, selon les observations publiees par Rapid7.

La menace du vol de machine keys est particulierement insidieuse car elle cree une persistance invisible et difficile a detecter : des attaquants ayant compromis un serveur SharePoint avant l'application du patch peuvent conserver un acces persistant via des tokens forges signes avec les cles cryptographiques volees, contournant l'ensemble des mecanismes d'authentification SharePoint. Ce vecteur de persistance survit au patching, aux changements de mots de passe et meme a une reinitialisation complete des comptes de service si les machine keys elles-memes ne sont pas regenerees. Les vecteurs d'attaque secondaires incluent la pivotation vers l'Active Directory, l'exfiltration de documents confidentiels, l'acces aux workflows et aux integrations avec Exchange, Teams et OneDrive hybride.

Recommandations immediates

• Appliquer immediatement les correctifs du Patch Tuesday juillet 2026 — Microsoft Security Advisory CVE-2026-50522 et CVE-2026-58644
• Effectuer une rotation complete des machine keys SharePoint (web.config et configuration IIS) sur tous les serveurs, meme deja patches, car les cles potentiellement volees permettent la forge de tokens persistants
• Bloquer en urgence l'acces externe au endpoint /_trust/default.aspx via les regles WAF et pare-feu si le patch ne peut etre deploye immediatement
• Analyser les logs IIS a la recherche de requetes POST anormales vers /_trust/default.aspx avec des cookies encodes en Base64 de grande taille (indicateur de compromission)
• Auditer les comptes de service SharePoint pour detecter des activites suspectes post-exploitation : nouvelles connexions, acces a des ressources inhabituelles, creation de comptes
• Envisager le deploiement d'un WAF avec regles specifiques pour bloquer les payloads BinaryFormatter dans les requetes HTTP vers SharePoint