Des chercheurs en sécurité ont découvert une faille permettant d’accéder aux serveurs Microsoft SharePoint en tant que n’importe quel utilisateur, y compris administrateur, sans compte valide. Une part importante de cette découverte a été réalisée grâce à un agent d’intelligence artificielle.

La faille, référencée CVE-2026-55040 (CVSS 9.1), affecte SharePoint Server Subscription Edition, SharePoint Server 2019 et SharePoint Server 2016. La liste des produits concernés de Microsoft ne couvre que ces trois éditions sur site, et SharePoint Online n’en fait pas partie.

Elle permet à un attaquant distant non authentifié d’usurper l’identité d’un utilisateur choisi. L’attaque a une condition préalable : l’intrus doit connaître le compte qu’il souhaite usurper, soit par son identifiant de sécurité Active Directory (SID), soit par son nom d’utilisateur principal (UPN), qui est formaté comme une adresse électronique.

Rapid7 a ensuite exploité cette faille de sécurité pour exécuter du code sur le serveur sans autorisation. Microsoft et l’entreprise ont révélé cette seconde faille le 11 août sous la référence CVE-2026-63520 (CVSS 8.1), une instanciation de type .NET non sécurisée dans les services de connectivité d’entreprise de SharePoint.

L’exploitation de cette faille permet d’exécuter du code malveillant avec les privilèges du compte de service Windows associé au site. Elle affecte également d’autres versions d’Office : Subscription Edition, 2019 et 2016, ainsi que Project Server 2013 Service Pack 1 et Office Web Apps 2013 Service Pack 1.

Rapid7 affirme que le problème est résolu, mais l’historique des mises à jour de Microsoft SharePoint ne mentionnait aucun package d’août pour aucune édition au moment de la rédaction ; les numéros de build contenant ce correctif ne sont donc pas encore publics.

Toute personne utilisant SharePoint en local doit vérifier que la mise à jour de juillet est installée, car, selon Rapid7, elle corrige la faille, et appliquer la mise à jour d’août dès sa disponibilité. La CISA a indiqué le 14 juillet qu’aucune exploitation de cette faille n’avait été constatée à ce jour.

La faille se situe dans le pipeline de validation des jetons Web JSON (JWT) de SharePoint. Rapid7 indique que plusieurs vulnérabilités dans ce pipeline permettent à un attaquant non authentifié de se faire passer pour l’utilisateur ciblé. Sa preuve de concept interroge le contrôleur de domaine de la cible pour lister les utilisateurs par SID, puis exploite la faille jusqu’à identifier l’administrateur du site.

Lors de cette démonstration, la condition préalable s’est avérée moins contraignante qu’il n’y paraît. L’évaluation de la faille par la CISA, enregistrée dans la base de données nationale des vulnérabilités le 14 juillet, conclut à l’automatisation de l’attaque et à son impact technique total. L’entreprise a publié son analyse technique complète ainsi qu’un script de démonstration de faisabilité le 11 août.

Rapid7 a mené deux campagnes de recherche sur le code source de SharePoint, en janvier et mars 2026. Celle de janvier n’a pas permis d’identifier de chaîne exploitable. Celle de mars, en revanche, a été fructueuse : selon l’entreprise, un agent fortement sollicité a permis de découvrir le chemin d’accès aux deux vulnérabilités. Au cours de 24 jours d’activité, Rapid7 a enregistré 96 sessions, 256 sollicitations et environ 80 000 appels d’outils.

Une approche entièrement automatisée n’aurait pas fonctionné, selon l’entreprise, car le modèle produisait trop souvent des résultats douteux ou inexacts, et l’intervention d’un expert était nécessaire pour piloter l’agent. L’entreprise affirme également que l’agent a triché. Il a outrepassé ses instructions pour atteindre son objectif, en réutilisant des identifiants d’administrateur, en activant des options de débogage et en lisant des secrets, autant d’éléments qui ne figuraient pas dans le modèle de menaces initial.

Microsoft a déployé le correctif de juillet en trois mises à jour serveur :

• Édition par abonnement KB5002882 , version 16.0.19725.20434
• SharePoint Server 2019 KB5002883, version 16.0.10417.20175
• SharePoint Server 2016 KB5002891, version 16.0.5561.1001

Le 14 juillet marquait également la fin du support pour SharePoint Server 2016 et 2019. Selon les directives de Microsoft relatives au cycle de vie des produits, ces derniers ne reçoivent plus de mises à jour de sécurité. Ces deux versions figurent sur la liste des produits concernés par la faille d’exécution de code à distance (RCE) récemment divulguée , et Rapid7 recommande à ses clients d’installer la dernière mise à jour.

On ignore encore si Microsoft fournira un correctif pour les deux versions dont le support a été arrêté en juillet. Pour ces environnements, l’enjeu principal réside dans la suite des événements. La mise à jour de juillet est censée rompre ce cycle de vie ; les failles découvertes ultérieurement ne seraient plus corrigées.

Trois autres failles de sécurité SharePoint étaient activement exploitées lorsque la CISA a publié son alerte du 14 juillet . L’agence a indiqué que des attaquants dérobaient des clés de machine IIS et a exhorté les organisations à rechercher et supprimer les traces de vol de données avant de renouveler ces clés. Tout signe de compromission sur un serveur SharePoint exposé nécessite une réponse à l’incident, et non un simple renouvellement de clé.