Hackers target Microsoft SharePoint RCE chain with PoC exploit

Exploitation active d’une chaîne de vulnérabilités sur Microsoft SharePoint

Des attaquants exploitent activement une chaîne de deux vulnérabilités critiques dans Microsoft SharePoint permettant l’exécution de code à distance (RCE) sur des serveurs non corrigés. Des preuves de concept (PoC) pour ces failles sont disponibles publiquement, ce qui a facilité leur weaponisation rapide.

Points clés :

• Mode opératoire : Les attaquants utilisent la première faille pour contourner l’authentification, puis enchaînent avec la seconde pour obtenir l’exécution de code.
• Risque élevé : Plus de 8 700 serveurs SharePoint exposés sur Internet sont potentiellement vulnérables.
• Contexte : La CISA a ordonné aux agences fédérales de corriger leurs systèmes suite à l’activité malveillante observée sur des honeypots.

Vulnérabilités identifiées :

• CVE-2026-55040 : Faille de contournement d’authentification dans le pipeline de validation des jetons JWT. Elle permet à un utilisateur non privilégié d’usurper une identité d’administrateur.
• CVE-2026-63520 : Vulnérabilité au sein des Business Connectivity Services (BCS) de SharePoint, exploitable après le contournement d’authentification pour exécuter du code à distance.

Recommandations :

• Appliquer les correctifs : Installer immédiatement les mises à jour de sécurité de Microsoft pour SharePoint Server.
• Réduire l’exposition : Éviter d’exposer directement les serveurs SharePoint sur Internet.
• Durcissement : Consulter et appliquer les guides officiels de durcissement (security-hardening) de Microsoft pour les instances SharePoint.
• Surveillance : Auditer les journaux pour détecter toute tentative d’énumération administrative ou d’interaction anormale avec le catalogue de données métiers (Business Data Catalog).

Source