CVE-2026-55040 : bypass JWT SharePoint CVSS 9.1 + RCE chain

Les faits

CVE-2026-55040 est une vulnérabilité critique d'authentification affectant Microsoft SharePoint Server dans ses éditions 2016, 2019 et Subscription Edition. Découverte par Stephen Fewer, chercheur principal en sécurité chez Rapid7, lors de la compétition Pwn2Own Berlin 2026, la faille a été communiquée à Microsoft dans le cadre d'un processus de divulgation responsable coordonné. Elle est corrigée dans le Patch Tuesday de juillet 2026, mais sa dangerosité est décuplée par l'existence d'une seconde vulnérabilité complémentaire — un bug d'exécution de code à distance (RCE) — dont le correctif n'est attendu que lors du Patch Tuesday d'août, prévu le 11 août 2026. Cette décision de Microsoft de scinder la remédiation en deux cycles consécutifs crée une fenêtre d'exposition intermédiaire qui exige une vigilance maximale des équipes de sécurité.

Techniquement, CVE-2026-55040 réside dans la validation des tokens JWT (JSON Web Token) utilisés par SharePoint pour l'authentification des utilisateurs et des applications. Un JSON Web Token contient trois parties encodées en Base64 : l'en-tête (algorithme de signature), la charge utile (claims : identité utilisateur, rôles, expiration, émetteur) et la signature cryptographique censée garantir l'intégrité de l'ensemble. La faille exploite une erreur de validation dans la vérification de la signature : en manipulant certains paramètres du token — notamment l'algorithme de signature ou les claims d'émetteur (issuer) — un attaquant peut forger un token accepté comme valide par SharePoint sans posséder la clé cryptographique secrète. Cette classe d'attaques, connue sous le terme « JWT algorithm confusion » ou « none algorithm attack » dans ses variantes les plus simples, permet d'usurper l'identité de n'importe quel utilisateur du site, y compris les administrateurs de collection de sites et les administrateurs de ferme.

L'exploitation ne requiert aucune authentification préalable (Zero-Credentials Attack) : l'attaquant envoie directement une requête HTTP au serveur SharePoint avec un token JWT forgé revendiquant des droits administrateurs. Une fois l'identité usurpée, il peut accéder à toutes les données du site, modifier des configurations critiques, déployer des solutions SharePoint malveillantes (fichiers WSP), ou préparer l'étape suivante vers l'exécution de code à distance. Le CVSS 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) reflète fidèlement cette combinaison : réseau, faible complexité, zéro privilège requis.

La combinaison avec la seconde vulnérabilité RCE non patchée est particulièrement redoutable. Dans la démonstration de Pwn2Own Berlin, la chaîne complète permettait d'aller de zéro accès à l'exécution de commandes arbitraires sur le serveur SharePoint en quelques secondes. Rapid7 a confirmé dans son advisory que CVE-2026-55040 constitue le premier maillon indispensable de cette chaîne : sans le bypass d'authentification, le RCE seul nécessite au minimum un compte SharePoint valide. Microsoft a choisi de corriger le maillon d'entrée en juillet pour briser la chaîne la plus accessible, tout en poursuivant les tests du correctif RCE en vue de la release d'août.

La temporalité de la divulgation est importante à comprendre. Pwn2Own Berlin a eu lieu avant juillet 2026 ; les organisateurs (Zero Day Initiative, Trend Micro) disposent des détails techniques complets de la chaîne d'exploitation. Selon les règles de la compétition, les vulnérabilités sont communiquées aux vendeurs immédiatement après la démonstration, avec un délai de 90 jours pour correction avant divulgation publique. Si le composant RCE n'est pas corrigé lors du Patch Tuesday d'août, la ZDI pourrait être contrainte de publier les détails techniques complets — créant un risque d'exploitation massive par des acteurs moins sophistiqués s'appuyant sur un exploit documenté.

SharePoint Server est massivement déployé dans les entreprises mondiales comme plateforme de collaboration intranet, de gestion documentaire et d'intégration avec Microsoft 365. Les investigations menées par Resecurity en juillet 2026 ont documenté des campagnes ciblées utilisant CVE-2026-55040 pour exfiltrer des documents sensibles et établir des webshells persistants via les fonctionnalités de déploiement de solutions SharePoint. Des indicateurs de compromission incluant des patterns d'accès anormaux aux endpoints OAuth et API SharePoint ont été identifiés dans les journaux IIS et les logs SharePoint ULS (Unified Logging Service).

Il est crucial de distinguer les déploiements concernés : SharePoint Online (Microsoft 365 cloud) n'est pas affecté, Microsoft ayant appliqué les corrections directement côté infrastructure de service. Seuls les déploiements SharePoint Server on-premises — autogérés dans des datacenters privés ou en IaaS (Azure VMs, AWS EC2, GCP Compute Engine) — sont vulnérables. Cette distinction est importante car de nombreuses organisations hybrides maintiennent des fermes SharePoint Server on-premises pour des raisons de conformité, de souveraineté des données ou d'intégration avec des systèmes legacy.

La vitesse d'adoption de CVE-2026-55040 par des acteurs malveillants — moins de deux semaines entre le patch public et l'exploitation active documentée — illustre le phénomène dit de « patch diffing » : en analysant les différences entre la version patchée et la version vulnérable du code SharePoint, des acteurs sophistiqués peuvent reconstituer la faille originale et développer un exploit fonctionnel en quelques jours. Ce pattern est systématiquement observé pour les failles d'authentification critiques touchant des plateformes à fort déploiement comme SharePoint, Exchange ou SAP.

Selon les analyses de Rapid7, publiées dans leur advisory CVE-2026-55040, la faille réside spécifiquement dans le composant de validation JWT de SharePoint qui gère les tokens émis pour les applications OAuth et les appels API REST. La correction implique un renforcement de la vérification des signatures cryptographiques et une validation stricte des paramètres d'algorithme acceptés — notamment le rejet explicite de l'algorithme « none » et la vérification que l'algorithme déclaré dans l'en-tête du JWT correspond à l'algorithme attendu par la configuration du serveur.

Impact et exposition

Tous les serveurs Microsoft SharePoint Server 2016, 2019 et Subscription Edition non patchés avec les mises à jour de juillet 2026 sont exposés à l'attaque de bypass JWT seule (CVE-2026-55040). Les serveurs non patchés avec les deux failles actives — bypass + RCE — permettent une compromission complète sans authentification, exposant l'ensemble des données hébergées et potentiellement l'Active Directory si l'intégration NTLM/Kerberos est exploitée en pivot post-compromission.

La condition d'exploitation est particulièrement favorable aux attaquants : aucune authentification requise, accessible depuis Internet si le serveur SharePoint est exposé publiquement (extranet, portail partenaires, accès VPN-less). Les organisations exposant SharePoint directement sur Internet sans WAF (Web Application Firewall) ni filtrage applicatif sont en situation d'urgence critique. Selon les données de scans Shodan et Censys, plusieurs dizaines de milliers de serveurs SharePoint sont directement accessibles depuis Internet — chacun représentant une cible potentielle pour cette vulnérabilité.

Le risque résiduel après patch juillet (bypass corrigé, RCE non encore corrigé) : un attaquant disposant d'un accès réseau interne ou d'un compte SharePoint valide pourrait encore exploiter la seconde vulnérabilité seule si elle est découverte indépendamment. Ce risque, bien que moindre que la chaîne complète, justifie une surveillance accrue des logs SharePoint et une segmentation réseau restrictive jusqu'au 11 août 2026.

Recommandations immédiates

• Appliquer immédiatement les mises à jour de sécurité SharePoint de juillet 2026 — advisory Microsoft CVE-2026-55040 : correctifs disponibles pour SharePoint Server Subscription Edition, 2019 et 2016
• Planifier en priorité absolue l'application des mises à jour du 11 août 2026 (Patch Tuesday) pour corriger la composante RCE de la chaîne d'exploitation
• Si déploiement immédiat impossible : restreindre l'accès aux endpoints JWT/OAuth SharePoint via le WAF, désactiver temporairement l'accès anonyme et les applications tierces OAuth, et isoler les fermes SharePoint exposées sur Internet
• Surveiller les logs IIS et SharePoint ULS pour des patterns anormaux : accès aux API d'administration depuis des IP inhabituelles, création de nouvelles solutions SharePoint, modifications des configurations de sécurité non planifiées