En bref

  • La CISA a ajouté CVE-2026-32201, CVE-2026-45659 et CVE-2026-56164 au catalogue KEV le 14 juillet 2026 après confirmation d’exploitation active contre des serveurs SharePoint on-premises exposés sur internet.
  • Versions affectées : toutes les versions supportées de SharePoint Server on-premises, dont SharePoint Server Subscription Edition.
  • Impact confirmé post-exploitation : vol des machine keys ASP.NET/IIS, déploiement de web shells, persistance et exécution de code arbitraire à distance.

Les faits

Le 14 juillet 2026, la CISA a publié une alerte urgente (CISA Urges SharePoint Hardening After New Exploitations) informant que trois vulnérabilités Microsoft SharePoint Server on-premises étaient activement exploitées en combinaison dans des attaques observées dans la nature. Les CVE concernées — CVE-2026-32201, CVE-2026-45659 et CVE-2026-56164 — ont été simultanément ajoutées au catalogue Known Exploited Vulnerabilities (KEV), déclenchant l’application de la Binding Operational Directive 26-04. Les agences fédérales américaines ont reçu l’ordre de patcher les systèmes affectés au plus tard le 17 juillet 2026, ou de les déconnecter à défaut.

Les trois vulnérabilités, déjà patchées par Microsoft lors du Patch Tuesday de juillet 2026, n’ont pas été déployées à temps dans de nombreux environnements on-premises. C’est précisément cette fenêtre d’exposition qui a été exploitée. SharePoint Server on-premises reste massivement déployé en entreprise et dans les administrations publiques, notamment en Europe, ce qui explique l’ampleur potentielle de la menace.

CVE-2026-32201 est une vulnérabilité de spoofing réseau liée à une validation d’entrée incorrecte (CWE-20). Elle permet à un attaquant distant non authentifié de falsifier des requêtes réseau, ouvrant la voie à des opérations d’escalade de confiance initiale contre le serveur SharePoint. C’est la porte d’entrée de la chaîne d’exploitation documentée.

CVE-2026-45659 est une vulnérabilité de désérialisation de données non fiables (CWE-502) permettant à un attaquant disposant d’un niveau d’accès minimal d’exécuter du code arbitraire à distance sur le serveur. Ce type de vulnérabilité est particulièrement dangereux dans les architectures SharePoint car le processus IIS (w3wp.exe) dispose généralement de droits élevés sur le système sous-jacent. La désérialisation dans les applications .NET/ASP.NET constitue depuis des années un vecteur de RCE privilégié, comme l’ont démontré les exploitations massives de ViewState gadgets dans les applications SharePoint et Exchange.

CVE-2026-56164 est une vulnérabilité d’escalade de privilèges réseau liée à une authentification manquante sur une fonction critique (CWE-306). Elle permet à un attaquant non authentifié d’élever ses privilèges à distance, sans interaction utilisateur et avec une complexité d’attaque faible. C’est la clé de voûte de la chaîne : elle permet d’atteindre un niveau Farm Administrator sur SharePoint, accordant un contrôle total sur la configuration de la ferme.

La chaîne d’exploitation complète documentée par les chercheurs de Tenable, Penligent et CrowdStrike suit un schéma en trois temps. Premièrement, l’attaquant exploite CVE-2026-56164 pour obtenir des droits Farm Administrator sans authentification préalable. Deuxièmement, il utilise CVE-2026-45659 pour exécuter du code arbitraire via désérialisation dans le contexte du processus IIS. Troisièmement, il récupère les valeurs machineKey ASP.NET stockées dans les fichiers de configuration SharePoint (web.config et SharePoint Central Administration).

Le vol des machine keys ASP.NET est l’élément le plus inquiétant de cette chaîne car il confère une persistance quasi-indétectable. Les machine keys servent à signer et chiffrer les ViewState, les tickets d’authentification par formulaire et d’autres données applicatives sensibles. En possession de ces clés, un attaquant peut : forger des ViewState malveillants permettant une RCE même après suppression des web shells, créer des cookies d’authentification valides pour usurper n’importe quel compte, et maintenir un accès fantôme au serveur qui survit aux mises à jour et redémarrages.

Les activités post-exploitation confirmées par CISA incluent le déploiement de web shells dans des répertoires accessibles via HTTP sur le serveur SharePoint, l’utilisation de techniques de désérialisation pour établir des mécanismes de persistance complémentaires, et le déploiement de malwares supplémentaires. L’analyse forensique d’incidents réels a montré des attaquants capables de maintenir leur présence pendant des semaines après la découverte et la suppression de web shells initiaux, précisément grâce aux machine keys volées permettant de forger de nouvelles requêtes signées.

CVE-2026-32201 joue un rôle de facilitateur en permettant le spoofing réseau pour contourner certains contrôles de sécurité réseau en amont du serveur SharePoint. Cette vulnérabilité, initialement classée comme modérément sévère (CVSS 5.3), prend une tout autre dimension dans le contexte de cette chaîne d’exploitation. C’est un rappel de la nécessité d’évaluer les vulnérabilités dans leur contexte d’enchaînement et non isolément.

Impact et exposition

Toutes les versions supportées de SharePoint Server on-premises sont affectées, dont SharePoint Server 2016, 2019 et la version Subscription Edition. Les environnements SharePoint Online (Microsoft 365) ne sont pas concernés, Microsoft ayant appliqué les correctifs directement dans l’infrastructure cloud. L’exposition est concentrée sur les déploiements on-premises, encore très répandus dans les grandes entreprises, administrations publiques et secteurs réglementés. Tout serveur SharePoint on-premises exposé directement ou indirectement sur internet sans les correctifs de juillet 2026 doit être considéré comme potentiellement compromis.

Recommandations

  • Appliquer immédiatement les correctifs de juillet 2026 pour SharePoint Server (CVE-2026-32201, CVE-2026-45659, CVE-2026-56164). Si le patch immédiat est impossible, déconnecter le serveur d’internet.
  • Effectuer une rotation des machine keys ASP.NET dans web.config pour toutes les applications SharePoint — même après application du patch, les clés potentiellement déjà volées doivent être invalidées.
  • Rechercher des web shells dans les répertoires IIS et SharePoint, notamment sous _layouts, _controltemplates et les répertoires d’upload.
  • Analyser les journaux IIS et SharePoint ULS des 90 derniers jours pour détecter des accès anormaux, en particulier les requêtes POST vers des endpoints inhabituels.
  • Restreindre l’accès à SharePoint Central Administration aux seules adresses IP de gestion légitimes via des règles de pare-feu ou WAF.

Alerte critique

Si votre serveur SharePoint on-premises est exposé sur internet et n’a pas reçu les correctifs de juillet 2026, considérez qu’il est potentiellement compromis. La priorité absolue est l’application des patches, suivie d’une rotation des machine keys ASP.NET et d’une recherche de web shells. Ne pas attendre la prochaine fenêtre de maintenance.

Comment effectuer la rotation des machine keys ASP.NET sur SharePoint et pourquoi est-ce critique même après le patch ?

Les machine keys sont stockées dans le fichier web.config de chaque application web IIS hébergeant SharePoint. Si votre serveur a été exposé sans patch pendant la période d’exploitation active, considérez les clés comme compromises. La procédure de rotation consiste à générer de nouvelles valeurs aléatoires pour validationKey et decryptionKey (64 octets hex aléatoires minimum), à les déployer de manière coordonnée sur tous les nœuds de la ferme, et à invalider toutes les sessions actives via un redémarrage des pools d’applications IIS SharePoint. Cette opération est critique car un attaquant disposant des anciennes clés peut continuer à forger des requêtes signées validées par le serveur même après suppression de ses web shells.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu’elles ne soient exploitées.

Demander un audit