CVE-2026-55040 : La faille critique de contournement JWT dans SharePoint désormais exploitée activement

Des attaquants exploitent activement une faille critique de contournement d’authentification sur les serveurs Microsoft SharePoint en version sur site, quelques jours seulement après que la société de cybersécurité Rapid7 a publié un code d’exploitation (proof-of-concept, PoC) complet. Identifiée sous le nom CVE-2026-55040 avec un score CVSS de 9,1, cette vulnérabilité permet à un attaquant distant non authentifié de forger des JSON Web Tokens (JWT) et d’usurper l’identité de n’importe quel utilisateur SharePoint, y compris les administrateurs de site, sans mot de passe ni session valide .

Microsoft a corrigé cette vulnérabilité lors de son Patch Tuesday de juillet 2026, affectant SharePoint Server Subscription Edition, 2019 et 2016 Enterprise . Cependant, avec plus de 8 500 serveurs SharePoint encore exposés en ligne selon des scans à l’échelle d’Internet, la fenêtre d’attaque reste grande ouverte .

Comment fonctionne CVE-2026-55040 : Un échec de validation JWT

La cause racine est une faiblesse d’authentification (CWE-1390) dans le pipeline de validation JWT de SharePoint. Selon Rapid7, qui a découvert le bogue, la vulnérabilité provient de plusieurs faiblesses distinctes dans la manière dont les classes SPJsonWebSecurityTokenHandlerV2 et SPJsonWebSecurityBaseTokenHandlerV2 de SharePoint analysent les jetons Bearer de service à service . Un attaquant peut envoyer un JWT forgé que le serveur accepte sans vérification cryptographique appropriée, ce qui lui permet effectivement d’usurper l’identité de n’importe quel utilisateur du site SharePoint ou administrateur de la batterie de serveurs .

Microsoft a décrit la faille simplement : « La fonction d’authentification pourrait être contournée car cette vulnérabilité permet l’usurpation d’identité » . L’exploitation permet à un attaquant de divulguer des fichiers et de modifier des données, mais Microsoft indique qu’elle ne peut pas avoir d’impact sur la disponibilité du système .

Chronologie de la divulgation et de l’armement

• 14 juillet 2026 : Microsoft et Rapid7 divulguent CVE-2026-55040 et publient des correctifs .
• 10 août 2026 : Rapid7 publie une analyse technique détaillée de la vulnérabilité .
• 12 août 2026 : Rapid7 publie un PoC public sous la forme d’un script Python .
• Dans les jours qui suivent le 12 août : Les attaquants commencent à utiliser l’exploit dans le cadre d’attaques actives .

Le chercheur de Rapid7, Stephen Fewer, a découvert cette faille, notant qu’il s’agit du premier maillon d’une chaîne de deux vulnérabilités qui, combinée à une seconde faille (encore sous embargo), peut permettre l’exécution de code à distance non authentifiée contre les serveurs SharePoint vulnérables .

Recommandations d’atténuation de la CISA

La CISA a publié des recommandations de durcissement urgentes les 14 et 15 juillet 2026, et les a mises à jour à mesure que l’exploitation s’intensifiait . Les organisations utilisant SharePoint sur site doivent prendre les mesures suivantes immédiatement :

• Appliquer les correctifs cumulatifs de juillet 2026 sur tous les serveurs SharePoint de la batterie. Vérifiez la bonne installation via l’Assistant de configuration des produits SharePoint ou PowerShell – une simple mise à jour Windows ne garantit pas un service complet . Les correctifs spécifiques incluent KB 5002891/KB 5002892 pour SharePoint 2016 et KB 5002883 pour SharePoint 2019 .
• Ne pas exposer les serveurs SharePoint directement à Internet. Si un accès Internet est nécessaire, placez le serveur derrière un proxy inverse de couche 7 ou une appliance de sécurité applicative équivalente qui applique l’authentification et inspecte les requêtes .
• Bloquer l’accès externe à l’administration centrale de SharePoint (Central Administration) – cette interface administrative ne doit jamais être accessible depuis Internet .
• Activer et vérifier l’intégration de l’interface d’analyse antimalware (AMSI) pour chaque application web SharePoint .
• Renouveler les clés machine IIS en cas de signe de compromission, et auditer les artefacts d’intrusion avant de renouveler les identifiants volés .
• Mettre en place une journalisation et une surveillance adaptées pour détecter les schémas d’authentification anormaux, et examiner les journaux d’authentification et d’autorisation pour la période précédant le déploiement du correctif .

Contexte d’exploitation plus large : Trois autres CVEs activement exploitées

CVE-2026-55040 n’est pas un incident isolé. Le même jour que la publication des correctifs, la CISA a confirmé l’exploitation active de trois autres CVEs de SharePoint :

• CVE-2026-32201 (CVSS 6,5) – Une vulnérabilité d’usurpation due à une validation d’entrée incorrecte, exploitée depuis au moins avril 2026 .
• CVE-2026-45659 (CVSS 8,8) – Exécution de code à distance via la désérialisation de données non fiables. Depuis le 11 août 2026, la CISA a confirmé que des gangs de ransomwares ont commencé à abuser de cette faille .
• CVE-2026-56164 (CVSS 5,3, mais exploitable à distance sans authentification) – Une faille d’élévation de privilèges activement enchaînée dans des attaques pour voler les clés machine IIS et obtenir un accès persistant .

Les attaquants enchaînent ces vulnérabilités : en utilisant CVE-2026-32201 pour un accès initial, CVE-2026-45659 ou CVE-2026-56164 pour l’exécution de code, et CVE-2026-55040 comme multiplicateur de force pour le contournement d’authentification . Cette campagne d’exploitation coordonnée a été surnommée la « chaîne SharePoint » par certains chercheurs .