En bref

  • Le CERT-FR a émis l'alerte CERTFR-2026-ALE-008 le 20 juillet 2026 : quatre vulnérabilités SharePoint Server on-premise exploitées activement en un mois.
  • CVE-2026-50522 et CVE-2026-58644 (CVSS 9.8 chacune) permettent à un attaquant non authentifié d'exécuter du code arbitraire à distance via des failles de désérialisation — SharePoint Server 2016, 2019 et Subscription Edition sont affectés.
  • Patcher ne suffit pas : les attaquants volent les machine keys SharePoint pour maintenir un accès persistant après application du correctif — la rotation des clés est impérative.

Les faits

Le 20 juillet 2026, le Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques (CERT-FR) a publié l'alerte CERTFR-2026-ALE-008, signalant l'exploitation active de multiples vulnérabilités critiques dans Microsoft SharePoint Server on-premise. Cette alerte fait suite au Patch Tuesday de juillet 2026, lors duquel Microsoft a corrigé, parmi 751 CVE, plusieurs failles critiques affectant ses serveurs SharePoint — des déploiements encore très répandus dans les administrations françaises, les collectivités territoriales et les grandes entreprises industrielles.

La première faille en date, CVE-2026-32201, a commencé à être exploitée dans la nature dès la semaine suivant le Patch Tuesday de juin 2026. Elle permet une élévation de privilèges sur SharePoint Server via une manipulation des jetons SAML, offrant à un attaquant authentifié des droits de site administrateur. Dans la foulée, CVE-2026-45659 a été exploitée pour abuser des permissions ainsi obtenues et accéder à des bibliothèques de documents sensibles sans laisser de trace dans les journaux d'audit standard de SharePoint.

Mais c'est l'exploitation des deux failles de désérialisation qui a provoqué l'escalade du niveau d'alerte. CVE-2026-50522 et CVE-2026-58644, toutes deux cotées CVSS 9.8 et corrigées par Microsoft le 14 juillet 2026, permettent à un attaquant non authentifié d'exécuter du code arbitraire à distance en exploitant des erreurs de désérialisation dans le pipeline de traitement des requêtes HTTP de SharePoint Server. Aucune authentification n'est requise, aucune interaction utilisateur n'est nécessaire : la surface d'attaque est maximale pour toute instance SharePoint joignable depuis un réseau.

Le 27 juillet 2026, la société de recherche watchTowr a publié une analyse technique de CVE-2026-50522 accompagnée d'un code de preuve de concept. Dans les heures suivant cette publication, les équipes ont observé une vague d'exploitation active ciblant des serveurs SharePoint on-premise exposés sur Internet. Un aspect particulièrement préoccupant de cette exploitation est la nature du vol opéré : les attaquants utilisent la faille pour extraire les machine keys SharePoint en une seule requête HTTP, sans laisser de traces dans les journaux d'application standard.

Les machine keys SharePoint sont des clés cryptographiques utilisées pour signer et chiffrer les tokens de session, les ViewState ASP.NET et d'autres structures de données sensibles. Un attaquant en possession de ces clés peut forger des tokens de session valides et maintenir un accès persistant à SharePoint même après que le correctif a été appliqué et que les mots de passe des comptes ont été changés. C'est précisément pourquoi le CERT-FR et la CISA insistent sur la nécessité de ne pas se contenter du patch mais de procéder également à une rotation complète des machine keys et à un audit approfondi des accès récents.

La CISA avait anticipé ce risque en publiant le 14 juillet 2026 un avis de sécurité listant CVE-2026-32201, CVE-2026-45659, CVE-2026-56164, CVE-2026-58644 et CVE-2026-50522 comme activement exploitées, enjoignant les agences fédérales américaines à appliquer les correctifs dans un délai de 72 heures. En France, l'alerte CERTFR-2026-ALE-008 reste maintenue en état actif au 2 août 2026, signe que l'ANSSI continue d'observer des tentatives d'exploitation sur le territoire national.

Les versions de SharePoint Server affectées par CVE-2026-50522 et CVE-2026-58644 sont SharePoint Server 2016 (toutes éditions Feature Pack 2), SharePoint Server 2019 (toutes éditions) et SharePoint Server Subscription Edition (SE). SharePoint Online (Microsoft 365) n'est pas concerné par ces vulnérabilités spécifiques, Microsoft ayant déployé les correctifs côté cloud avant la divulgation publique.

Il convient de distinguer ces vulnérabilités de CVE-2026-55040, déjà couverte sur ce site, qui concernait un bypass JWT permettant une chaîne d'attaque RCE via une autre composante de SharePoint. CVE-2026-50522 et CVE-2026-58644 s'appuient sur des mécanismes de désérialisation différents dans le pipeline HTTP core de SharePoint Server, rendant leur exploitation possible avant même l'authentification — dès la première couche de traitement des requêtes.

Le schéma d'attaque observé par watchTowr et corroboré par les analyses de Rapid7 est systématique : les attaquants envoient une requête HTTP spécialement forgée exploitant CVE-2026-50522 pour extraire les machineKey et validationKey du fichier web.config de SharePoint. Ces clés sont ensuite utilisées pour forger des ViewState malveillants permettant une exécution de code arbitraire persistante sur le serveur, même après application du patch officiel Microsoft.

Impact et exposition

SharePoint Server on-premise reste très déployé dans le secteur public français, dans les établissements de santé, dans le secteur bancaire et dans les industries régulées. Une instance SharePoint Server exposée directement sur Internet — configuration fréquente pour les extranets et portails partenaires — est entièrement compromise via CVE-2026-50522 sans aucun prérequis. L'impact métier est potentiellement catastrophique : SharePoint héberge fréquemment les documents les plus sensibles d'une organisation — contrats, données RH, plans stratégiques, documentation technique industrielle. L'exfiltration silencieuse de ce contenu, combinée au vol des machine keys pour la persistance, constitue exactement le mode opératoire des groupes d'espionnage économique et des ransomwares à double extorsion.

Recommandations

  • Patcher immédiatement : appliquer la mise à jour de sécurité Microsoft du Patch Tuesday de juillet 2026 pour SharePoint Server 2016, 2019 et SE — référencée dans l'alerte CERTFR-2026-ALE-008.
  • Rotation des machine keys : régénérer toutes les machine keys SharePoint (élément MachineKey dans web.config) et les farm configuration keys — sans cette étape, les sessions volées avant le patch restent valides indéfiniment.
  • Audit des accès récents : analyser les journaux d'accès IIS et les journaux SharePoint ULS des 30 derniers jours pour identifier des patterns d'accès anormaux, notamment des requêtes volumineuses vers des endpoints inhabituels.
  • Restriction réseau : si SharePoint Server est exposé sur Internet, déployer ou activer un WAF avec des règles spécifiques contre la désérialisation ASP.NET en attendant l'application du patch.
  • Vérification post-patch : après application du correctif et rotation des clés, réaliser un scan des fichiers modifiés récemment sur le serveur SharePoint pour détecter d'éventuels webshells déposés avant ou pendant l'exploitation.

Alerte critique

CVE-2026-50522 est activement exploitée avec un PoC public disponible depuis le 27 juillet 2026. Toute instance SharePoint Server on-premise non patchée accessible depuis un réseau non maîtrisé doit être considérée comme potentiellement compromise. La rotation des machine keys est non négociable même après l'application du correctif — sans elle, la persistance attaquant survit au patch.

Notre SharePoint est derrière un reverse proxy — sommes-nous protégés contre CVE-2026-50522 ?

Non, pas automatiquement. Un reverse proxy ou un load balancer transmet les requêtes HTTP vers SharePoint sans analyse du contenu applicatif. Seul un WAF (Web Application Firewall) avec des règles spécifiques pour la désérialisation ASP.NET peut filtrer les tentatives d'exploitation avant qu'elles atteignent SharePoint. Même avec un WAF, le patch reste indispensable : les WAF peuvent être contournés par des variantes d'exploit légèrement modifiées. La seule protection définitive est l'application du correctif Microsoft combinée à la rotation des machine keys.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit