CVE-2026-55040 : SharePoint auth bypass weaponisé après le PoC Rapid7, attaques confirmées

Les faits

Le 14 juillet 2026, Microsoft publiait son Patch Tuesday mensuel incluant un correctif pour CVE-2026-55040, une vulnérabilité d'authentification dans Microsoft SharePoint Server 2016 et 2019 on-premises. La faille, notée 9.1 sur l'échelle CVSS, avait été découverte par les chercheurs de Rapid7 dans le cadre de leur participation au concours de hacking Pwn2Own Berlin 2026.

Le 19 août 2026, Rapid7 publiait une analyse technique détaillée accompagnée d'un code d'exploitation de démonstration. Dans les heures suivant cette publication, selon BleepingComputer, des acteurs malveillants ont commencé à weaponiser le PoC dans des attaques réelles contre des serveurs SharePoint on-premises.

Quatre faiblesses dans le pipeline JWT

L'analyse de Rapid7 révèle que CVE-2026-55040 n'est pas une faille unique mais une chaîne de quatre vulnérabilités empilées dans le même chemin de code de validation des tokens JWT de SharePoint. Première faiblesse : dans certaines conditions, la vérification de la signature cryptographique du token est entièrement contournée. Deuxième faiblesse : le certificat de vérification des tokens est accepté sans contrôle de son authenticité ou de sa chaîne de certification. Troisième faiblesse : la vérification de signature finale confirme uniquement la présence d'une valeur, pas sa validité cryptographique réelle. Quatrième faiblesse : l'identité revendiquée dans le token n'est pas soumise à un contrôle croisé avec les identités légitimes du système.

La combinaison de ces quatre faiblesses permet à un attaquant non authentifié de construire un token JWT valide aux yeux de SharePoint, revendiquant n'importe quelle identité — y compris un compte administrateur de site — sans posséder le moindre compte sur le système.

De Pwn2Own aux attaques réelles

La chaîne d'exploitation a d'abord été présentée à la conférence DEF CON 35 à Las Vegas (7-10 août 2026), où Rapid7 a détaillé comment la combinaison de CVE-2026-55040 avec une technique de post-exploitation permettait d'atteindre une exécution de code à distance sur le serveur SharePoint. Le PoC complet publié le 19 août a immédiatement changé la donne.

The Hacker News rapporte que les premières attaques observées visaient principalement des bibliothèques de documents SharePoint contenant des données sensibles : ressources humaines, contrats juridiques, données financières. Des tentatives de création de comptes administrateurs locaux via les API SharePoint ont également été documentées, suggérant une volonté d'établir une persistance dans les environnements ciblés.

Surface d'exposition : des milliers d'instances non patchées

D'après les estimations de SecurityWeek basées sur les données Shodan et Censys au 24 août 2026, entre 18 000 et 25 000 instances SharePoint on-premises (2016 et 2019) sont encore directement accessibles depuis Internet. Le délai de plus de 5 semaines entre la publication du patch (14 juillet) et le début des attaques actives (19 août) suggère qu'une fraction significative de ces instances n'avait pas encore appliqué la mise à jour.

Ce délai illustre un problème récurrent dans les environnements SharePoint on-premises : ces systèmes sont souvent considérés comme des infrastructures critiques difficiles à patcher sans planification de maintenance, ce qui retarde leur remédiation. SharePoint Online (Microsoft 365) n'est pas concerné — Microsoft avait appliqué les corrections côté service cloud de façon transparente.

Impact et exposition

SharePoint Server Enterprise 2016 et 2019 on-premises sont concernés. L'exploitation est possible sans authentification depuis Internet. L'ensemble des bibliothèques de documents, listes, workflows et données d'applications hébergées dans SharePoint sont accessibles à un attaquant ayant exploité la faille. Dans les configurations où SharePoint sert d'intranet RH ou de GED juridique, l'impact sur la confidentialité des données est maximal. La chaîne RCE documentée par Rapid7 implique également une compromission du serveur Windows hébergeant SharePoint.

Recommandations

• Patcher immédiatement : appliquer KB5002700 pour SharePoint Server 2016 et KB5002699 pour SharePoint Server 2019
• Si patch impossible : isoler l'interface web SharePoint de tout accès public Internet — accès via VPN uniquement
• Analyser les logs IIS depuis le 19 août pour des requêtes contenant des tokens JWT anormaux ou des créations de comptes suspectes
• Vérifier les comptes administrateurs SharePoint créés ou modifiés après le 19 août sans justification métier
• Évaluer une migration vers SharePoint Online si le maintien on-premises n'est pas justifié par des contraintes réglementaires documentées