Researchers Disclose AI-Assisted SharePoint Exploit Chain Reaching Unauthenticated RCE
Mis à jour :
Vulnérabilité critique dans Microsoft SharePoint : Une chaîne d’exploitation assistée par IA
Des chercheurs en cybersécurité ont identifié une chaîne d’exploitation critique permettant à un attaquant non authentifié de prendre le contrôle total de serveurs Microsoft SharePoint. Cette découverte, facilitée par l’utilisation d’agents d’intelligence artificielle, combine une faille d’usurpation d’identité avec une exécution de code à distance.
Points clés :
- Découverte assistée par IA : La recherche a été accélérée par des agents IA ayant effectué des milliers d’appels d’outils, bien qu’une supervision humaine experte ait été indispensable pour filtrer les résultats et diriger les investigations.
- Chaîne d’attaque : L’attaque repose sur le détournement du pipeline de validation des jetons JWT pour usurper l’identité d’un utilisateur (y compris administrateur), suivi d’une injection de code.
- Impact : Les attaquants peuvent exécuter du code arbitraire avec les privilèges du compte de service Windows associé au site SharePoint.
Vulnérabilités identifiées :
- CVE-2026-55040 (CVSS 9.1) : Contournement de l’authentification dans le pipeline de validation JWT. Permet à un attaquant de se faire passer pour n’importe quel utilisateur s’il connaît son identifiant (SID ou UPN).
- CVE-2026-63520 (CVSS 8.1) : Instanciation de type .NET non sécurisée dans les services de connectivité métier (Business Connectivity Services), permettant l’exécution de code à distance (RCE).
Recommandations :
- Mises à jour prioritaires : Installer impérativement les correctifs de juillet, qui bloquent la chaîne d’exploitation. Appliquer les correctifs d’août dès leur disponibilité pour corriger définitivement la RCE.
- Gestion du cycle de vie : SharePoint 2016 et 2019 ayant atteint leur fin de support en juillet 2026, leur mise à jour reste incertaine. Une migration vers des versions supportées est fortement conseillée pour éviter toute exposition durable.
- Réponse aux incidents : En cas de suspicion de compromission, effectuer une rotation des clés machine IIS et auditer les serveurs à la recherche de traces d’extraction de données.