SharePoint : 3 CVE exploitées, machine keys IIS volées

Les faits

Le 14 juillet 2026, la CISA a publié une alerte urgente (« CISA Urges SharePoint Hardening After New Exploitations ») signalant que trois vulnérabilités affectant Microsoft SharePoint Server on-premises étaient activement exploitées en chaîne dans des attaques observées en conditions réelles. Les failles concernées — CVE-2026-32201, CVE-2026-45659 et CVE-2026-56164 — ont été ajoutées simultanément au catalogue KEV, contraignant les agences fédérales américaines à corriger sous délai contraint. Le scénario d'attaque documenté repose sur l'enchaînement SharePoint CVE-2026-56164 exploitation machine keys IIS : après le contournement d'authentification et l'exécution de code à distance, les opérateurs exfiltrent les clés cryptographiques ASP.NET du serveur web. Cette compromission des machine keys leur permet de forger des jetons ViewState valides et de conserver un accès persistant, même après l'application des correctifs Microsoft.

Les trois vulnérabilités, déjà patchées par Microsoft lors du Patch Tuesday de juillet 2026, n’ont pas été déployées à temps dans de nombreux environnements on-premises. C’est précisément cette fenêtre d’exposition qui a été exploitée. SharePoint Server on-premises reste massivement déployé en entreprise et dans les administrations publiques, notamment en Europe, ce qui explique l’ampleur potentielle de la menace.

CVE-2026-32201 est une vulnérabilité de spoofing réseau liée à une validation d’entrée incorrecte (CWE-20). Elle permet à un attaquant distant non authentifié de falsifier des requêtes réseau, ouvrant la voie à des opérations d’escalade de confiance initiale contre le serveur SharePoint. C’est la porte d’entrée de la chaîne d’exploitation documentée.

CVE-2026-45659 est une vulnérabilité de désérialisation de données non fiables (CWE-502) permettant à un attaquant disposant d’un niveau d’accès minimal d’exécuter du code arbitraire à distance sur le serveur. Ce type de vulnérabilité est particulièrement dangereux dans les architectures SharePoint car le processus IIS (w3wp.exe) dispose généralement de droits élevés sur le système sous-jacent. La désérialisation dans les applications .NET/ASP.NET constitue depuis des années un vecteur de RCE privilégié, comme l’ont démontré les exploitations massives de ViewState gadgets dans les applications SharePoint et Exchange.

CVE-2026-56164 est une vulnérabilité d’escalade de privilèges réseau liée à une authentification manquante sur une fonction critique (CWE-306). Elle permet à un attaquant non authentifié d’élever ses privilèges à distance, sans interaction utilisateur et avec une complexité d’attaque faible. C’est la clé de voûte de la chaîne : elle permet d’atteindre un niveau Farm Administrator sur SharePoint, accordant un contrôle total sur la configuration de la ferme.

La chaîne d’exploitation complète documentée par les chercheurs de Tenable, Penligent et CrowdStrike suit un schéma en trois temps. Premièrement, l’attaquant exploite CVE-2026-56164 pour obtenir des droits Farm Administrator sans authentification préalable. Deuxièmement, il utilise CVE-2026-45659 pour exécuter du code arbitraire via désérialisation dans le contexte du processus IIS. Troisièmement, il récupère les valeurs machineKey ASP.NET stockées dans les fichiers de configuration SharePoint (web.config et SharePoint Central Administration).

Le vol des machine keys ASP.NET est l’élément le plus inquiétant de cette chaîne car il confère une persistance quasi-indétectable. Les machine keys servent à signer et chiffrer les ViewState, les tickets d’authentification par formulaire et d’autres données applicatives sensibles. En possession de ces clés, un attaquant peut : forger des ViewState malveillants permettant une RCE même après suppression des web shells, créer des cookies d’authentification valides pour usurper n’importe quel compte, et maintenir un accès fantôme au serveur qui survit aux mises à jour et redémarrages.

Les activités post-exploitation confirmées par CISA incluent le déploiement de web shells dans des répertoires accessibles via HTTP sur le serveur SharePoint, l’utilisation de techniques de désérialisation pour établir des mécanismes de persistance complémentaires, et le déploiement de malwares supplémentaires. L’analyse forensique d’incidents réels a montré des attaquants capables de maintenir leur présence pendant des semaines après la découverte et la suppression de web shells initiaux, précisément grâce aux machine keys volées permettant de forger de nouvelles requêtes signées.

CVE-2026-32201 joue un rôle de facilitateur en permettant le spoofing réseau pour contourner certains contrôles de sécurité réseau en amont du serveur SharePoint. Cette vulnérabilité, initialement classée comme modérément sévère (CVSS 5.3), prend une tout autre dimension dans le contexte de cette chaîne d’exploitation. C’est un rappel de la nécessité d’évaluer les vulnérabilités dans leur contexte d’enchaînement et non isolément.

Impact et exposition

Toutes les versions supportées de SharePoint Server on-premises sont affectées, dont SharePoint Server 2016, 2019 et la version Subscription Edition. Les environnements SharePoint Online (Microsoft 365) ne sont pas concernés, Microsoft ayant appliqué les correctifs directement dans l’infrastructure cloud. L’exposition est concentrée sur les déploiements on-premises, encore très répandus dans les grandes entreprises, administrations publiques et secteurs réglementés. Tout serveur SharePoint on-premises exposé directement ou indirectement sur internet sans les correctifs de juillet 2026 doit être considéré comme potentiellement compromis.

Recommandations

• Appliquer immédiatement les correctifs de juillet 2026 pour SharePoint Server (CVE-2026-32201, CVE-2026-45659, CVE-2026-56164). Si le patch immédiat est impossible, déconnecter le serveur d’internet.
• Effectuer une rotation des machine keys ASP.NET dans web.config pour toutes les applications SharePoint — même après application du patch, les clés potentiellement déjà volées doivent être invalidées.
• Rechercher des web shells dans les répertoires IIS et SharePoint, notamment sous _layouts, _controltemplates et les répertoires d’upload.
• Analyser les journaux IIS et SharePoint ULS des 90 derniers jours pour détecter des accès anormaux, en particulier les requêtes POST vers des endpoints inhabituels.
• Restreindre l’accès à SharePoint Central Administration aux seules adresses IP de gestion légitimes via des règles de pare-feu ou WAF.