SharePoint CVE-2026-50522 : RCE exploité après PoC public

SharePoint sous le feu : une 4e vulnérabilité exploitée en un mois

Le 20 juillet 2026, un chercheur publiait un code d'exploitation (proof-of-concept) pour CVE-2026-50522, une vulnérabilité critique de désérialisation de données non fiables dans Microsoft Office SharePoint Server. En moins de 24 heures, la société watchTowr observait les premières tentatives d'exploitation réelles sur ses honeypots. Cette rapidité — un délai inférieur à une journée entre PoC public et exploitation active — illustre l'industrialisation désormais achevée de la menace cyber ciblant les applications d'entreprise.

CVE-2026-50522 n'est pas une vulnérabilité isolée. Selon SecurityWeek, elle constitue la quatrième faille SharePoint Server à être exploitée au cours du seul mois de juillet 2026, révélant une attention soutenue des acteurs malveillants sur cette plateforme de collaboration. Cette accumulation suggère soit une campagne coordonnée ciblant délibérément SharePoint, soit un intérêt accru des chercheurs en vulnérabilités pour cette codebase, dont les découvertes finissent inévitablement entre les mains d'opérateurs malveillants.

La vulnérabilité CVE-2026-50522 a été corrigée dans le Patch Tuesday de juillet 2026, qui comportait un total historique de 570 CVE. Sur le plan technique, elle réside dans le traitement des données désérialisées par SharePoint Server : un attaquant non authentifié peut envoyer une requête HTTP spécialement construite vers l'endpoint de connexion SharePoint, embarquant un payload .NET malveillant. SharePoint Server traite ce payload sans valider son origine ni son intégrité, ce qui permet l'exécution de code arbitraire sur le serveur hébergeant l'instance SharePoint.

L'objectif immédiat des attaquants observés par watchTowr n'est pas nécessairement d'exécuter du code de manière directe, mais d'obtenir les machine keys SharePoint. Ces clés cryptographiques, générées à l'installation et rarement régénérées, sont utilisées par SharePoint Server pour signer et chiffrer les tokens d'authentification, les cookies de session et d'autres données de confiance. Un attaquant en possession des machine keys peut créer des tokens d'authentification valides pour n'importe quel utilisateur du tenant SharePoint, sans connaître son mot de passe ni contourner le MFA.

Cette capacité d'usurpation d'identité universelle représente un risque particulièrement grave dans un contexte d'entreprise. SharePoint héberge typiquement des documents sensibles, des espaces de travail confidentiels, des workflows RH et financiers, et des intranets contenant des informations stratégiques. Un attaquant capable d'usurper l'identité d'un directeur financier ou d'un administrateur système accède instantanément à l'ensemble de ces ressources avec des privilèges légitimes, sans déclencher d'alertes liées à des comportements d'authentification anormaux.

La CISA a réagi rapidement, ajoutant CVE-2026-50522 à son catalogue KEV (Known Exploited Vulnerabilities) le 22 juillet 2026 — soit 48 heures après la publication du PoC — et fixant une deadline de correction au 25 juillet pour toutes les agences du pouvoir exécutif fédéral américain (Federal Civilian Executive Branch, FCEB). Cette échéance, qui correspond à aujourd'hui, souligne la gravité de la menace telle qu'évaluée par les autorités américaines de cybersécurité.

Il est important de souligner que CVE-2026-50522 n'affecte pas SharePoint Online, la version cloud hébergée dans Microsoft 365. Seules les installations on-premises de SharePoint Server sont exposées. Cette distinction est cruciale car de nombreuses grandes organisations, notamment dans le secteur public français et les grandes entreprises ayant des contraintes de souveraineté des données, maintiennent des déploiements SharePoint on-premises parallèlement à des environnements Microsoft 365.

BleepingComputer précise, dans son article intitulé "Critical SharePoint RCE flaw exploited to steal machine keys", que les experts recommandent non seulement d'appliquer le patch mais également de procéder à la rotation des machine keys après patching. En effet, si les machine keys ont déjà été exfiltrées avant l'application du correctif, le simple patching ne suffit pas à neutraliser le risque : les clés compromises restent utilisables par un attaquant disposant des copies volées. La rotation des machine keys force la révocation de tous les tokens forgés à partir des anciennes clés.

Help Net Security confirme dans sa couverture de l'incident qu'aucune solution de contournement satisfaisante n'existe pour CVE-2026-50522 en dehors de l'application du patch. Les contrôles de type WAF (Web Application Firewall) peuvent freiner certaines variantes d'exploitation mais ne constituent pas une protection fiable face à des attaquants déterminés disposant de PoC fonctionnels et capables d'adapter leurs requêtes.

La désérialisation SharePoint : une classe de risque sous-estimée dans les DSI françaises

La désérialisation de données non fiables est l'une des catégories de vulnérabilités les plus dangereuses et les moins bien comprises en dehors des équipes de sécurité offensive. Contrairement aux injections SQL ou aux failles XSS, visibles dans les URL ou les formulaires, les vulnérabilités de désérialisation opèrent au niveau des couches applicatives profondes, dans des formats binaires ou JSON complexes que les outils de filtrage réseau ne peuvent généralement pas inspecter efficacement.

Microsoft SharePoint est déployé dans un nombre considérable d'organisations françaises, notamment dans les grandes entreprises du CAC 40, les administrations centrales et les collectivités territoriales. Ces déploiements on-premises ont souvent des cycles de patch management plus lents que les environnements cloud, en raison des tests de compatibilité requis avec les personnalisations et développements spécifiques qui s'accumulent sur des années. Cette réalité opérationnelle crée précisément les fenêtres d'exposition que les acteurs malveillants exploitent.

La recrudescence des attaques SharePoint en juillet 2026 — quatre vulnérabilités exploitées en un mois — devrait conduire les DSI et RSSI à réévaluer leur posture de sécurité sur cette plateforme. Au-delà du patching immédiat, des mesures structurelles s'imposent : isolation des serveurs SharePoint on-premises dans des segments réseau dédiés avec inspection approfondie du trafic entrant, audit régulier des machine keys et des certificats, et surveillance des patterns d'authentification pour détecter des accès utilisant des identités inhabituelles.

Dans le contexte de NIS2 et DORA, les entités concernées ont des obligations explicites de corriger dans des délais raisonnables les vulnérabilités critiques affectant leurs systèmes essentiels. Une faille CVSS 9.8 déjà ajoutée au KEV de la CISA, avec exploitation active documentée, constitue sans ambiguïté une vulnérabilité critique exigeant une action immédiate. Les équipes qui n'auraient pas encore appliqué le Patch Tuesday de juillet 2026 sur leurs serveurs SharePoint devraient en faire leur priorité absolue dans les prochaines heures.

Ce qu'il faut retenir

• Appliquer le Patch Tuesday de juillet 2026 immédiatement sur tous les serveurs Microsoft SharePoint Server on-premises — CVE-2026-50522 est activement exploitée depuis le 20 juillet.
• Après patching, procéder obligatoirement à la rotation (régénération) des machine keys SharePoint pour invalider toute clé potentiellement exfiltrée avant la correction.
• SharePoint Online (Microsoft 365) n'est pas affecté ; surveiller les logs d'authentification SharePoint depuis le 20 juillet pour détecter des accès suspects utilisant des identités inhabituelles.