SharePoint : 4 failles exploitées, alerte CERT-FR

Les faits

Le 20 juillet 2026, le Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques (CERT-FR) publiait l'alerte CERTFR-2026-ALE-008, signalant l'exploitation active de plusieurs vulnérabilités critiques affectant Microsoft SharePoint Server on-premise. Cette publication faisait suite au Patch Tuesday de juillet 2026, au cours duquel Microsoft a corrigé, parmi 751 CVE, quatre failles visant directement sa plateforme collaborative. La chaîne SharePoint CVE-2026-50522 désérialisation RCE CERT-FR illustre parfaitement le scénario redouté par les défenseurs : un objet sérialisé malveillant, transmis à un serveur exposé, déclenche une exécution de code arbitraire à distance sans authentification préalable. En un mois seulement, quatre vulnérabilités distinctes ont été exploitées dans la nature, contraignant des milliers d'organisations françaises à des opérations de correction et de recherche de compromission en urgence. Cet article détaille ces failles, leurs mécanismes et les mesures de remédiation prioritaires.

La première faille en date, CVE-2026-32201, a commencé à être exploitée dans la nature dès la semaine suivant le Patch Tuesday de juin 2026. Elle permet une élévation de privilèges sur SharePoint Server via une manipulation des jetons SAML, offrant à un attaquant authentifié des droits de site administrateur. Dans la foulée, CVE-2026-45659 a été exploitée pour abuser des permissions ainsi obtenues et accéder à des bibliothèques de documents sensibles sans laisser de trace dans les journaux d'audit standard de SharePoint.

Mais c'est l'exploitation des deux failles de désérialisation qui a provoqué l'escalade du niveau d'alerte. CVE-2026-50522 et CVE-2026-58644, toutes deux cotées CVSS 9.8 et corrigées par Microsoft le 14 juillet 2026, permettent à un attaquant non authentifié d'exécuter du code arbitraire à distance en exploitant des erreurs de désérialisation dans le pipeline de traitement des requêtes HTTP de SharePoint Server. Aucune authentification n'est requise, aucune interaction utilisateur n'est nécessaire : la surface d'attaque est maximale pour toute instance SharePoint joignable depuis un réseau.

Le 27 juillet 2026, la société de recherche watchTowr a publié une analyse technique de CVE-2026-50522 accompagnée d'un code de preuve de concept. Dans les heures suivant cette publication, les équipes ont observé une vague d'exploitation active ciblant des serveurs SharePoint on-premise exposés sur Internet. Un aspect particulièrement préoccupant de cette exploitation est la nature du vol opéré : les attaquants utilisent la faille pour extraire les machine keys SharePoint en une seule requête HTTP, sans laisser de traces dans les journaux d'application standard.

Les machine keys SharePoint sont des clés cryptographiques utilisées pour signer et chiffrer les tokens de session, les ViewState ASP.NET et d'autres structures de données sensibles. Un attaquant en possession de ces clés peut forger des tokens de session valides et maintenir un accès persistant à SharePoint même après que le correctif a été appliqué et que les mots de passe des comptes ont été changés. C'est précisément pourquoi le CERT-FR et la CISA insistent sur la nécessité de ne pas se contenter du patch mais de procéder également à une rotation complète des machine keys et à un audit approfondi des accès récents.

La CISA avait anticipé ce risque en publiant le 14 juillet 2026 un avis de sécurité listant CVE-2026-32201, CVE-2026-45659, CVE-2026-56164, CVE-2026-58644 et CVE-2026-50522 comme activement exploitées, enjoignant les agences fédérales américaines à appliquer les correctifs dans un délai de 72 heures. En France, l'alerte CERTFR-2026-ALE-008 reste maintenue en état actif au 2 août 2026, signe que l'ANSSI continue d'observer des tentatives d'exploitation sur le territoire national.

Les versions de SharePoint Server affectées par CVE-2026-50522 et CVE-2026-58644 sont SharePoint Server 2016 (toutes éditions Feature Pack 2), SharePoint Server 2019 (toutes éditions) et SharePoint Server Subscription Edition (SE). SharePoint Online (Microsoft 365) n'est pas concerné par ces vulnérabilités spécifiques, Microsoft ayant déployé les correctifs côté cloud avant la divulgation publique.

Il convient de distinguer ces vulnérabilités de CVE-2026-55040, déjà couverte sur ce site, qui concernait un bypass JWT permettant une chaîne d'attaque RCE via une autre composante de SharePoint. CVE-2026-50522 et CVE-2026-58644 s'appuient sur des mécanismes de désérialisation différents dans le pipeline HTTP core de SharePoint Server, rendant leur exploitation possible avant même l'authentification — dès la première couche de traitement des requêtes.

Le schéma d'attaque observé par watchTowr et corroboré par les analyses de Rapid7 est systématique : les attaquants envoient une requête HTTP spécialement forgée exploitant CVE-2026-50522 pour extraire les machineKey et validationKey du fichier web.config de SharePoint. Ces clés sont ensuite utilisées pour forger des ViewState malveillants permettant une exécution de code arbitraire persistante sur le serveur, même après application du patch officiel Microsoft.

Impact et exposition

SharePoint Server on-premise reste très déployé dans le secteur public français, dans les établissements de santé, dans le secteur bancaire et dans les industries régulées. Une instance SharePoint Server exposée directement sur Internet — configuration fréquente pour les extranets et portails partenaires — est entièrement compromise via CVE-2026-50522 sans aucun prérequis. L'impact métier est potentiellement catastrophique : SharePoint héberge fréquemment les documents les plus sensibles d'une organisation — contrats, données RH, plans stratégiques, documentation technique industrielle. L'exfiltration silencieuse de ce contenu, combinée au vol des machine keys pour la persistance, constitue exactement le mode opératoire des groupes d'espionnage économique et des ransomwares à double extorsion.

Recommandations

• Patcher immédiatement : appliquer la mise à jour de sécurité Microsoft du Patch Tuesday de juillet 2026 pour SharePoint Server 2016, 2019 et SE — référencée dans l'alerte CERTFR-2026-ALE-008.
• Rotation des machine keys : régénérer toutes les machine keys SharePoint (élément MachineKey dans web.config) et les farm configuration keys — sans cette étape, les sessions volées avant le patch restent valides indéfiniment.
• Audit des accès récents : analyser les journaux d'accès IIS et les journaux SharePoint ULS des 30 derniers jours pour identifier des patterns d'accès anormaux, notamment des requêtes volumineuses vers des endpoints inhabituels.
• Restriction réseau : si SharePoint Server est exposé sur Internet, déployer ou activer un WAF avec des règles spécifiques contre la désérialisation ASP.NET en attendant l'application du patch.
• Vérification post-patch : après application du correctif et rotation des clés, réaliser un scan des fichiers modifiés récemment sur le serveur SharePoint pour détecter d'éventuels webshells déposés avant ou pendant l'exploitation.