Microsoft SharePoint CVE-2026-55040 & CVE-2026-63520, d'un contournement d'authentification à la RCE
Résumé
Le 14 juillet, Rapid7 et Microsoft ont rendu publique la CVE-2026-55040. Cette vulnérabilité critique permet de contourner l'authentification de Microsoft SharePoint en usurpant un utilisateur légitime à l'aide d'un faux jeton forgé.
Un mois plus tard, le 11 août 2026, Microsoft et Rapid7 publient une autre vulnérabilité permettant une RCE (comprendre exécution de code à distance donc compromission de l'instance) authentifiée sur SharePoint, la CVE-2026-63520. En instanciant des classes malveillantes à travers un modèle BDC (fichier XML décrivant à SharePoint comment se connecter à une source de données externe), il est en effet possible d'exécuter des commandes système avec les privilèges du compte de service SharePoint.
Ce qui veut dire qu'en enchaînant les deux vulnérabilités, il est possible d'obtenir une RCE non authentifiée.
Chronologie des faits
Date | Nouvelle |
18 mai 2026 | Rapid7 signale la chaîne d'exploit RCE non authentifiée à Microsoft, qui en accuse réception le jour même. |
20 mai 2026 | Microsoft confirme les résultats et annonce un correctif réparti sur deux cycles : le contournement d'authentification en juillet, la RCE en août. |
29 mai 2026 | Rapid7 accepte un embargo de 30 jours sur les détails techniques, avec réserve de publication. |
14 juillet 2026 | Patch Tuesday : correctif et publication de la CVE-2026-55040. |
11 août 2026 | Rapid7 publie l'analyse technique et le PoC de la CVE-2026-55040 sur GitHub, et divulgue la CVE-2026-63520. |
12 août 2026 | Pic d'exploitation observé sur les honeypots Defused, quelques heures après le PoC. |
13 août 2026 | Microsoft rectifie le périmètre des produits concernés par la CVE-2026-63520. |
18 août 2026 | La CISA ajoute la CVE-2026-55040 à son catalogue KEV (Known Exploited Vulnerabilities). |
24 août 2026 | Rapid7 publie l'analyse technique de la CVE-2026-63520, calendrier avancé après la publication de détails par VulnCheck. |
Versions impactées
Les CVE affectent exclusivement les déploiements sur site (on-premises) de Microsoft SharePoint.
Microsoft SharePoint Enterprise Server 2016 (toutes les versions antérieures à la 16.0.5561.1001)
Microsoft SharePoint Server 2019 (toutes les versions antérieures à la 16.0.10417.20175)
Microsoft SharePoint Server Subscription Edition (toutes les versions antérieures à la 16.0.19725.20434)
Les versions hébergées dans le Cloud ne sont pas concernées par cette vulnérabilité.
Les correctifs SharePoint étant cumulatifs, un serveur au build d'août ou supérieur couvre les deux CVE. Un serveur patché uniquement en juillet reste exploitable en RCE authentifiée par n'importe quel compte utilisateur valide du domaine.
Correctifs
Pour la CVE-2026-55040, Microsoft a publié les correctifs le 14 juillet 2026 (Patch Tuesday). KB par produit :
Le 11 août pour la CVE-2026-63520 :
KB5002893 → Microsoft SharePoint Server Subscription Edition (version 16.0.19725.20522).
KB5002894 → SharePoint Server 2019 (16.0.10417.20198).
KB5002896 → SharePoint Server 2019 (16.0.10417.20198).
KB5002905 → SharePoint Enterprise Server 2016 (16.0.5565.1001).
KB5002906 → SharePoint Enterprise Server 2016 (16.0.5565.1001).
Comment fonctionne l'exploitation de ces failles ?
Étape 1 : Contourner l'authentification SharePoint (CVE-2026-55040)
1 - L'attaquant interroge le site SharePoint ciblé afin de récupérer le certificat x509 de son STS (Security Token Service), exposé sans authentification.
2 - Il énumère les utilisateurs valides. Le PoC Rapid7 itère sur les RID via des requêtes SID contre le contrôleur de domaine pour localiser un compte administrateur du site.
3 - Il forge un JWT sans signature valide et place l'identifiant de la cible (SID ou UPN dans le champ nameid).
4 - Le JWT malveillant forgé, accompagné du certificat x509, est envoyé au serveur qui valide le jeton.
5 - Le serveur connecte l'attaquant en tant qu'utilisateur usurpé.
Prérequis : l'attaquant doit connaître à l'avance le SID ou l'UPN de l'utilisateur à usurper. Le PoC automatise cette énumération.
Étape 2 : La RCE (CVE-2026-63520)
Le sous-système BDC résout les noms de types .NET fournis dans le XML d'un modèle, via DbTypeReflector.ResolveDotNetType(), qui appelle directement Type.GetType() sans allowlist. Tout type du GAC (dépôt central des assemblies .NET partagées de la machine) devient instanciable, propriétés comprises, ce qui permet de construire une chaîne d'exploitation.
POST /_api/web/folders pour créer le dossier BusinessDataMetadataCatalog.
POST /_api/web/GetFolderByServerRelativeUrl(...)/Files/add(url='BDCMetadata.bdcm') pour uploader le modèle malveillant.
POST /_vti_bin/client.svc/ProcessQuery en appelant FindSpecificDefault, ce qui instancie les types du modèle.
L'assignation de ObjectDataProvider.ObjectInstance déclenche Process.Start() avec les privilèges du compte de service SharePoint.
Deux chaînes différentes sont publiques : Rapid7 utilise un LobSystem Database avec le gadget ObjectDataProvider, VulnCheck un LobSystem DotNetAssembly avec LosFormatter.
Démonstration (POC)
Caractéristiques du labo pour démontrer la vulnérabilité:
Pour cette démonstration, le PoC officiel de Rapid7 a été utilisé (https://github.com/sfewer-r7/cve-2026-55040).
Version SharePoint : "Server Subscription Edition, build 16.0.19725.20210"
Lors de la création d'un laboratoire neuf, il faut créer un profil utilisateur pour le SID ciblé dans l'UPA (c'est fait par l'assistant mais il est vide, aucun compte n'y est associé).
Le même lab a été utilisé pour les deux CVEs
CVE-2026-55040
Il suffit d'indiquer l'IP du contrôleur de domaine et le nom du domaine ; le PoC énumère le reste automatiquement.
Une fois le jeton récupéré, on peut effectuer des requêtes vers SharePoint avec les droits de l'utilisateur usurpé.
Grâce à la réponse de l'API, on peut voir que nous sommes devenus administrateur.
Maintenant que nous avons confirmé que notre jeton était bien valide, on peut enchaîner sur la RCE.
CVE-2026-63520
Pour la RCE, aucun PoC n'est disponible à ce jour mais Rapid7 a publié un tutoriel sur la reproduction de la vulnérabilité : https://www.rapid7.com/blog/post/ra-microsoft-sharepoint-remote-code-execution-cve-2026-63520/
Afin d'exploiter cette vulnérabilité, Safercy a utilisé et créé un script pouvant enchaîner les deux CVE de manière automatisée afin d'obtenir un shell. Pour des raisons de sécurité, il ne sera pas publié tant qu'un PoC officiel ne sera pas sorti.
Ici, pour prouver que l'exécution a fonctionné, nous effectuons un curl vers notre machine.
La RCE est donc validée.
Sans audit de création de processus activé au préalable, il ne reste que les journaux IIS pour valider l'exploitation : on voit la requête, jamais l'exécution.
Commande PowerShell afin d'activer l'audit :
auditpol /set /subcategory:"Création du processus" /success:enable
reg add "HKLM\SOFTWARE\Microsoft\Windows\NT\CurrentVersion\Audit" /v ProcessCreationIncludeCmdLine_Enabled /t REG_DWORD /d 1 /f
gpupdate /forceVoici ce qui se passe côté journal Windows dans l'Observateur d'événements (Event Viewer).
Il est aussi possible d'observer l'exploit dans les journaux de W3SVC1 situés ici :
C:\inetpub\logs\LogFiles\W3SVC…
Recommandations
En complément du correctif, la CISA recommande de ne pas exposer les serveurs SharePoint directement sur Internet, de bloquer l'accès externe à SharePoint Central Administration, de restreindre les communications entre la ferme et la base de données, et de placer les instances exposées derrière un reverse proxy L7.
Il est à noter que la détection est difficile pour la CVE-2026-55040 : les requêtes effectuées par le PoC sont tout à fait légitimes, seule l'énumération des SID est vraiment suspecte.
En plus de ça, Safercy recommande de :
Vérifier la version réelle de chaque ferme avec (Get-SPFarm).BuildVersion plutôt que de se fier aux dates de déploiement WSUS
Considérer tout serveur exposé à Internet avant le patch comme potentiellement compromis, et déclencher un threat hunting rétroactif : le correctif ne supprime ni webshells, ni comptes créés, ni persistance.
Auditer les modèles BDC et external content types existants, puis supprimer ceux qui ne servent pas. Dans la majorité des environnements, le BDC n'est pas utilisé.
Restreindre les privilèges du compte de service SharePoint, ni administrateur local ni droits étendus dans l'AD, car c'est sous cette identité que le code s'exécute.
Remonter les logs IIS et ULS vers le SIEM, sans quoi aucune détection n'est exploitable et l'investigation post-incident est aveugle.
Conclusion
Les CVE-2026-55040 et CVE-2026-63520 illustrent la dangerosité d'une chaîne d'attaque complète : en combinant un contournement d'authentification JWT et une instanciation de classes malveillantes dans le sous-système BDC, un attaquant distant sans identifiants obtient une exécution de code à distance sur le serveur SharePoint.
Cet enchaînement entraîne la compromission totale des données hébergées, avec un risque critique de pivot vers l'Active Directory et Microsoft 365. La remédiation est sans ambiguïté: appliquer impérativement les correctifs de juillet et d'août 2026 et retirer les serveurs SharePoint de toute exposition directe à Internet.
Si vous avez des doutes concernant la solidité de votre infrastructure ou que vous avez besoin de connaître votre exposition face à ce genre d'attaques, Safercy peut vous accompagner. N'hésitez donc pas à nous contacter si vous avez des questions.
Auteur
Sources
Blog Rapid7 :
Blog Windows Report :
Nist :
Microsoft (Patch notes)
