Attackers Exploit SharePoint Authentication Bypass After Public PoC Release

Exploitation active de la vulnérabilité d’authentification SharePoint (CVE-2026-55040)

Des cyberattaquants exploitent activement une faille critique de contournement d’authentification dans Microsoft SharePoint, suite à la publication récente d’un code d’exploitation (PoC) par Rapid7. Cette vulnérabilité permet à un attaquant non authentifié d’usurper l’identité d’un utilisateur ou d’un administrateur SharePoint.

Points clés :

• La faille permet la consultation de fichiers et la modification de données, bien qu’elle ne permette pas d’impacter la disponibilité du système.
• Le mécanisme d’attaque repose sur le chaînage de quatre faiblesses distinctes dans la validation des jetons JWT (JSON Web Token).
• Depuis la mise à disposition publique du PoC, une augmentation des tentatives d’exploitation a été observée mondialement (Hong Kong, Japon, Pays-Bas, Taïwan, États-Unis).
• Il s’agit de la cinquième vulnérabilité SharePoint exploitée cette année.

Vulnérabilité :

• CVE-2026-55040 (Score CVSS : 9.1) : Contournement des fonctionnalités de sécurité dû à une validation défaillante des jetons Bearer S2S au sein des classes SPJsonWebSecurityTokenHandlerV2 et SPJsonWebSecurityBaseTokenHandlerV2.

Recommandations :

• Appliquer immédiatement les correctifs de sécurité fournis par Microsoft dans le cadre de la mise à jour « Patch Tuesday » de juillet 2026.
• Maintenir les instances SharePoint à jour pour se protéger contre cette vague d’attaques actives.

Source