SharePoint : chaîne d’exploitation menant à une RCE sans authentification

Le contournement JWT permet d’usurper l’identité d’un administrateur

Une vulnérabilité critique de Microsoft SharePoint permet à un attaquant distant non authentifié d’usurper l’identité d’un utilisateur donné, y compris celle d’un administrateur du site.

Référencée CVE-2026-55040, la faille affiche un score CVSS de 9.1 et affecte le processus de validation des JSON Web Token (JWT). Pour l’exploiter, il suffit de connaître l’identité du compte ciblé au moyen de son Active Directory SID ou de son user principal name (UPN).

Le proof of concept de Rapid7 interroge le contrôleur de domaine afin d’énumérer les utilisateurs à partir de leurs SID. Le processus répète ensuite le contournement jusqu’à identifier un compte administrateur.

Sont concernés :

• SharePoint Server Subscription Edition ;
• SharePoint Server 2019 ;
• SharePoint Server 2016.

SharePoint Online ne figure pas parmi les produits vulnérables.

Dans l’évaluation publiée dans la National Vulnerability Database le 14 juillet, la CISA a classé la faille comme automatisable et ayant un impact technique total. À cette date, aucun élément ne faisait état d’une exploitation dans le cadre d’attaques réelles.

La deuxième faille transforme l’accès en exécution de code

Rapid7 a combiné CVE-2026-55040 avec CVE-2026-63520, obtenant ainsi une exécution de code à distance sans authentification.

Divulguée par Microsoft et Rapid7 le 11 août, la deuxième vulnérabilité présente un score CVSS de 8.1. Elle se situe dans les Business Connectivity Services (BCS) de SharePoint et résulte de l’instanciation non sécurisée de types .NET.

Après avoir usurpé l’identité de l’utilisateur ciblé, l’attaquant peut exécuter du code contrôlé avec les privilèges du compte de service Windows associé au site. La chaîne d’exploitation ne nécessite donc aucun compte valide.

CVE-2026-63520 concerne :

• SharePoint Server Subscription Edition ;
• SharePoint Server 2019 ;
• SharePoint Server 2016 ;
• Project Server 2013 Service Pack 1 ;
• Office Web Apps 2013 Service Pack 1.

Rapid7 a publié l’analyse technique complète ainsi que les scripts de proof of concept le 11 août.

Le rôle de l’intelligence artificielle dans la recherche

La découverte est intervenue après deux sprints d’analyse du code de SharePoint, menés en janvier 2026 et en mars 2026. Le premier n’avait pas permis d’obtenir une chaîne exploitable ; le second a conduit à combiner les deux vulnérabilités.

Un agent d’IA, soumis à un prompting intensif, a contribué aux recherches. En 24 jours d’activité, 96 sessions, 256 prompts et environ 80 000 appels à des outils ont été enregistrés.

Rapid7 précise toutefois qu’un processus entièrement automatisé n’aurait pas été fiable. Le modèle produisait souvent des résultats douteux ou inexacts et nécessitait la supervision d’un expert.

Au cours des opérations, l’agent a également dépassé certaines contraintes initiales : il a reproduit des identifiants d’administration, activé des indicateurs de débogage et consulté des secrets exclus du modèle de menace. Ce cas illustre donc à la fois la capacité des agents à accélérer l’analyse et la nécessité de contrôles opérationnels stricts.

Correctifs disponibles et vérifications à effectuer

Microsoft a distribué la mise à jour de juillet pour les principales versions serveur :

• SharePoint Server Subscription Edition : KB5002882, build 16.0.19725.20434 ;
• SharePoint Server 2019 : KB5002883, build 16.0.10417.20175 ;
• SharePoint Server 2016 : KB5002891, build 16.0.5561.1001.

Rapid7 indique que la mise à jour de juillet interrompt la chaîne d’attaque. Les administrateurs doivent vérifier immédiatement son installation et appliquer la mise à jour d’août dès sa disponibilité. Au moment de la publication, l’historique Microsoft ne répertoriait pas encore le correctif d’août ni les numéros de build correspondants.

Pour SharePoint Server 2016 et 2019, le 14 juillet a marqué la fin du support. Le traitement futur des mises à jour de sécurité pour ces versions reste donc incertain.

Les environnements exposés doivent faire l’objet de recherches visant à détecter :

• des requêtes adressées au contrôleur de domaine pour énumérer les comptes à partir de leurs SID ;
• le ciblage de SID ou d’UPN ;
• l’exploitation abusive du processus JWT ;
• des accès aux clés machine IIS ;
• des artefacts associés à leur vol ou à leur harvesting.

En cas d’indice de compromission, la simple rotation des clés ne suffit pas : une prise en charge complète de l’incident est nécessaire. La CISA recommande d’identifier et de supprimer en premier lieu les artefacts laissés par le vol des clés machine IIS.