CVE-2026-55040 : SharePoint JWT bypass exploité CVSS 9.1

Les faits

Le 18 août 2026, la CISA a ajouté CVE-2026-55040 à son catalogue Known Exploited Vulnerabilities (KEV), officialisant la confirmation d'une exploitation active rapportée par plusieurs firmes de threat intelligence dès le 12 août 2026. Cette vulnérabilité critique affecte le mécanisme d'authentification par jeton JWT (JSON Web Token) de Microsoft SharePoint Server, l'une des plateformes de collaboration d'entreprise les plus déployées au monde avec des centaines de millions d'utilisateurs actifs. CVE-2026-55040 permet à un attaquant non authentifié de forger un jeton JWT valide et d'usurper l'identité de n'importe quel utilisateur de la plateforme, y compris les administrateurs SharePoint.

Le score CVSS 3.1 de 9.1 (Critique) positionne CVE-2026-55040 parmi les failles les plus graves de l'année 2026 pour les plateformes de collaboration. Le vecteur d'attaque est réseau, la complexité est faible, aucun privilège n'est requis, et l'interaction utilisateur n'est pas nécessaire. L'impact sur la confidentialité et l'intégrité est élevé : un attaquant exploitant cette faille peut accéder à l'ensemble des documents, listes et données SharePoint de l'organisation, modifier ou supprimer des contenus, et potentiellement pivoter vers d'autres systèmes intégrés à SharePoint.

Sur le plan technique, la vulnérabilité a été analysée en détail par Rapid7 dans un rapport publié le 11 août 2026 (Rapid7 blog post : Microsoft SharePoint JWT Token Authentication Bypass). La root cause réside dans une chaîne de quatre faiblesses distinctes dans le chemin de validation des JSON Web Tokens de SharePoint Server. Premièrement, SharePoint accepte des tokens signés avec des algorithmes de signature insuffisamment validés dans certains contextes. Deuxièmement, la vérification de l'audience (claim aud) présente une faille de logique permettant de substituer un domaine contrôlé par l'attaquant. Troisièmement, la vérification de l'émetteur (claim iss) peut être contournée par une manipulation des paramètres de découverte OIDC. Quatrièmement, le mécanisme de révocation de token ne couvre pas les tokens forgés selon ce pattern spécifique. L'enchaînement de ces quatre faiblesses permet de construire un JWT syntaxiquement valide que SharePoint acceptera comme authentique.

La chronologie de cette vulnérabilité illustre parfaitement la mécanique d'exploitation post-divulgation. Microsoft a corrigé CVE-2026-55040 dans le cadre du Patch Tuesday de juillet 2026, publié le 8 juillet 2026. Le 11 août 2026, Rapid7 a publié une analyse technique détaillée de la vulnérabilité accompagnée d'un proof-of-concept (PoC) fonctionnel démontrant le bypass d'authentification. Dès le lendemain, le 12 août 2026, la firme de threat intelligence Defused a rapporté que ses honeypots enregistraient des tentatives d'exploitation actives ciblant CVE-2026-55040, directement basées sur le PoC de Rapid7. SecurityWeek et Help Net Security ont simultanément confirmé cette exploitation in-the-wild. La CISA a réagi en ajoutant la faille au KEV le 18 août 2026, soit sept jours après la publication du PoC.

La vitesse d'exploitation post-PoC est particulièrement remarquable : moins de 24 heures entre la publication du PoC et les premières tentatives d'exploitation observées en conditions réelles. Cela confirme que des acteurs malveillants surveillent en permanence les publications de chercheurs en sécurité pour adapter leurs outils d'attaque en temps quasi-réel. Des groupes spécialisés dans l'accès initial aux réseaux d'entreprise ont rapidement intégré des modules d'exploitation de CVE-2026-55040 dans leurs arsenaux, augmentant drastiquement le risque pour les organisations n'ayant pas encore appliqué le patch de juillet 2026.

L'impact potentiel d'une compromission SharePoint via CVE-2026-55040 ne se limite pas aux données stockées sur la plateforme. SharePoint Server est fréquemment intégré à d'autres composants de l'écosystème Microsoft 365 on-premises et hybride : Exchange Server, Skype for Business, Teams on-premises, Power Platform, et diverses applications tierces via des connecteurs SharePoint. Un attaquant ayant usurpé l'identité d'un administrateur SharePoint peut potentiellement pivoter vers ces systèmes intégrés, exfiltrer des emails, accéder à des workflows automatisés sensibles, ou exploiter des permissions transitives dans Active Directory. SharePoint étant souvent utilisé pour stocker des contrats, documents financiers, données RH et propriété intellectuelle, les conséquences d'une exploitation réussie peuvent être catastrophiques.

Les versions on-premises de SharePoint sont les seules affectées. Microsoft a confirmé que SharePoint Online (Microsoft 365) bénéficie d'une architecture d'authentification différente, non impactée par CVE-2026-55040. Cependant, de nombreuses grandes entreprises et administrations publiques exploitent encore des environnements SharePoint hybrides ou entièrement on-premises, notamment pour des raisons de conformité réglementaire (RGPD, données de santé, données gouvernementales classifiées). Ces environnements sont précisément les plus exposés à CVE-2026-55040.

Selon l'analyse de l'IONIX Threat Center, les versions affectées comprennent SharePoint Server Subscription Edition (toutes les builds antérieures au patch de juillet 2026), SharePoint Server 2019 (toutes les versions antérieures au CU de juillet 2026) et SharePoint Enterprise Server 2016 (toutes les versions antérieures au patch July 2026). Des tentatives d'exploitation ont été observées ciblant à la fois des instances exposées directement sur Internet et des instances accessibles uniquement depuis des réseaux internes, via des attaquants ayant préalablement obtenu un accès réseau initial. Les secteurs banque, finance, administration et santé figurent parmi les cibles privilégiées des campagnes d'exploitation observées selon les rapports de SecurityAffairs.

Impact et exposition

Toute organisation exploitant SharePoint Server 2016, 2019 ou Subscription Edition on-premises sans avoir appliqué le patch de juillet 2026 est exposée à une compromission complète de sa plateforme collaborative. La disponibilité d'un PoC public depuis le 11 août 2026 signifie que même des attaquants peu sophistiqués peuvent désormais cibler ces systèmes. Les plateformes SharePoint accessibles depuis Internet (extranets, portails partenaires, accès VPN direct) sont les cibles prioritaires des campagnes d'exploitation automatisée observées depuis le 12 août 2026.

Les secteurs les plus exposés sont typiquement les grandes entreprises utilisant des architectures hybrides Microsoft, les administrations publiques ayant conservé des déploiements on-premises pour des raisons réglementaires, les cabinets d'avocats et de conseil stockant des documents confidentiels dans SharePoint, et les établissements de santé gérant des données médicales via des workflows SharePoint. Pour ces organisations, une compromission peut constituer une violation des données au sens du RGPD, entraînant des obligations de notification à la CNIL dans les 72 heures.

L'exploitation de CVE-2026-55040 peut également servir de premier vecteur dans une chaîne d'attaque plus large. Après avoir usurpé l'identité d'un administrateur SharePoint, un attaquant peut télécharger des webshells via les fonctionnalités de déploiement de solutions SharePoint, obtenant ainsi une exécution de code arbitraire sur le serveur. De là, le pivot vers Active Directory ou d'autres systèmes d'infrastructure est facilité. Des groupes de ransomware ont démontré leur intérêt pour ce type de vecteur d'accès initial offrant un niveau de privilège élevé dans des environnements cibles riches en données sensibles.

Recommandations immédiates

• Appliquer immédiatement le patch Microsoft July 2026 Patch Tuesday pour SharePoint — Microsoft Security Advisory MSRC-2026-55040 (les correctifs varient selon la version : SharePoint SE, 2019 ou 2016)
• Vérifier la version installée de SharePoint via PowerShell ((Get-SPFarm).BuildVersion) et comparer avec les versions patchées publiées dans l'advisory Microsoft MSRC-2026-55040
• Bloquer temporairement l'accès externe à l'interface d'authentification SharePoint si l'instance est exposée sur Internet et que le patch ne peut être appliqué immédiatement
• Examiner les logs d'accès SharePoint (logs ULS et logs IIS) pour détecter des authentifications anormales — rechercher des tokens JWT générés depuis des IP inconnues ou des user-agents inhabituels
• Auditer les comptes SharePoint ayant effectué des actions administratives depuis le 11 août 2026 pour détecter d'éventuelles usurpations d'identité
• Activer la journalisation avancée des événements d'authentification SharePoint et centraliser les logs dans un SIEM pour une détection en temps réel des tentatives d'exploitation