CVE-2026-32201 : zero-day SharePoint exploite (BlueHammer)

Les faits

Lors du Patch Tuesday d'avril 2026, Microsoft a publié un correctif d'urgence pour la CVE-2026-32201, une vulnérabilité d'usurpation de contenu (spoofing) affectant Microsoft SharePoint Server. Référencée par les chercheurs sous le nom de campagne BlueHammer, la faille CVE-2026-32201 SharePoint zero-day a été découverte alors qu'elle était déjà exploitée activement en production. Elle trouve son origine dans une validation insuffisante des entrées au sein du moteur de rendu de SharePoint, qui interprète certains éléments fournis par l'utilisateur sans les assainir. Un attaquant non authentifié peut ainsi injecter du contenu arbitraire dans les pages servies aux collaborateurs, falsifier des interfaces légitimes et orchestrer des campagnes de hameçonnage internes crédibles, voire préparer un vol d'identifiants. Les serveurs SharePoint exposés sur Internet constituent la cible prioritaire, ce qui impose aux administrateurs d'appliquer le correctif sans délai et de rechercher d'éventuels signes de compromission.

L'exploit observe en environnement de production présente des similarites avec la chaine d'attaque baptisee BlueHammer, dont une preuve de concept a ete publiee sur GitHub le 3 avril 2026 par un chercheur sous l'alias Chaotic Eclipse. Selon Tenable et CrowdStrike, plusieurs campagnes ciblent deja des intranets d'entreprise via cette faille, notamment dans les secteurs gouvernemental et financier. La CISA a inscrit CVE-2026-32201 a son catalogue Known Exploited Vulnerabilities et impose une remediation avant le 28 avril 2026 pour toutes les agences federales civiles.

Impact et exposition

Sont concernes les serveurs SharePoint 2016, SharePoint 2019 et SharePoint Server Subscription Edition exposes a un réseau accessible (intranet ou Internet). Selon les donnees de Shodan, plus de 21 000 instances SharePoint sont visibles publiquement, dont une majorite n'avait pas applique le patch dans les 48 heures suivant la divulgation. L'exploitation reussie permet la divulgation et la modification de contenus sensibles : documents, listes, pages d'équipe. Combinee a d'autres faiblesses SharePoint, elle sert de vecteur initial pour des compromissions plus larges (vol de jetons OAuth, exfiltration de bibliotheques entieres).

Recommandations

• Appliquer immédiatement la mise a jour de sécurité d'avril 2026 pour SharePoint Server (KB associes selon la version).
• Verifier dans les logs IIS toute requete anormale vers les endpoints SharePoint depuis le 3 avril 2026, notamment des POST avec du contenu HTML inattendu.
• Restreindre l'exposition Internet des fermes SharePoint et placer un WAF avec regles SharePoint a jour devant les frontends.
• Auditer les permissions OAuth et les jetons d'acces emis recemment ; revoquer ceux dont l'origine est suspecte.
• Activer les detections EDR sur l'execution de scripts inattendus par w3wp.exe et OWSTIMER.EXE.

Chaîne d'exploitation BlueHammer : détail technique

L'analyse du code de la preuve de concept BlueHammer révèle un mécanisme d'exploitation en deux temps. La première étape consiste à forger une requête HTTP POST vers le point de terminaison de rendu SharePoint (/_layouts/15/) en y injectant un fragment de balisage malformé que le parseur de contenu ne neutralise pas correctement avant affichage. La seconde étape exploite cette faille de validation pour substituer l'origine affichée d'un document ou d'une page d'équipe, trompant l'utilisateur sur la provenance réelle du contenu — un vecteur classique de préparation au phishing interne ou à l'exfiltration de identifiants via de fausses pages d'authentification SharePoint. Aucun jeton d'authentification préalable n'est nécessaire, ce qui explique le vecteur d'attaque réseau (AV:N) et l'absence d'interaction utilisateur dans le score CVSSv3.1 officiel.

Microsoft a publié les correctifs sous les références KB5041234 (SharePoint Server 2016), KB5041256 (SharePoint Server 2019) et KB5041278 (SharePoint Server Subscription Edition, build 16.0.17928.20146 et ultérieur). Les administrateurs ne pouvant appliquer immédiatement le correctif disposent d'une mitigation temporaire : activer l'AMSI (Antimalware Scan Interface) sur le rôle serveur SharePoint et restreindre l'accès au chemin /_layouts/15/ via une règle de WAF filtrant les charges utiles contenant des balises non fermées ou des entités HTML suspectes. Microsoft Defender for Endpoint intègre depuis le 16 avril 2026 une signature dédiée (nom de détection Exploit:Win32/BlueHammer.A), et Tenable Nessus référence désormais un plugin d'audit spécifique (ID 218430) pour identifier les instances non corrigées.

Ce type de faille rappelle les précédents ProxyShell (2021) et ProxyNotShell (2022), qui avaient également touché SharePoint et Exchange via des chaînes d'exploitation combinant plusieurs failles de validation d'entrée à faible sévérité individuelle mais à fort impact cumulé. Les analystes de CrowdStrike soulignent que la note CVSS relativement modérée de 6.5 masque un risque opérationnel réel : combinée à une élévation de privilèges locale ou à un vol de session, l'usurpation de contenu SharePoint peut servir de point d'entrée vers une compromission complète de l'intranet documentaire, avec un impact direct sur la confidentialité des données métier stockées dans les bibliothèques de documents.