Une chaîne d'exploit critique découverte avec l'aide d'une IA

Le 11 août 2026, la société de recherche en sécurité Rapid7 a publié les détails d'une chaîne d'exploit en deux étapes touchant Microsoft SharePoint Server, permettant à un attaquant non authentifié d'exécuter du code arbitraire sur le serveur. Ce qui rend cette divulgation remarquable : une partie importante du travail de recherche a été réalisée par un agent IA, dans le cadre d'un processus supervisé par des experts humains.

La chaîne combine deux vulnérabilités distinctes :

  • CVE-2026-55040 (CVSS 9.1 — critique) : un contournement d'authentification dans le pipeline de validation des JSON Web Tokens (JWT) de SharePoint, corrigé en juillet 2026.
  • CVE-2026-63520 (CVSS 8.1 — élevé) : une exécution de code à distance via une instanciation de type .NET non sécurisée dans les Business Connectivity Services de SharePoint, divulguée et corrigée le 11 août 2026.

Enchaînées, ces deux failles permettent à un attaquant distant, sans aucune credential, d'usurper l'identité d'un utilisateur cible — y compris un administrateur de site — puis d'exécuter du code sur le serveur.

Produits concernés : uniquement les versions on-premises

Les éditions affectées sont les suivantes :

  • SharePoint Server Subscription Edition
  • SharePoint Server 2019
  • SharePoint Server 2016

SharePoint Online (Microsoft 365) n'est pas concerné.

La seconde vulnérabilité (CVE-2026-63520) touche en outre des produits liés plus anciens : Project Server 2013 Service Pack 1 et Office Web Apps 2013 Service Pack 1.

Le rôle de l'IA dans la découverte

Rapid7 a mené deux « sprints » de recherche contre le code de SharePoint, en janvier et mars 2026. Le sprint de janvier n'a produit aucune chaîne exploitable. Celui de mars a abouti, grâce à un agent IA fortement guidé.

Selon The Hacker News, qui a rapporté la divulgation, le travail agentic a représenté :

  • 24 jours actifs de travail de l'agent
  • 96 sessions enregistrées
  • 256 prompts soumis
  • environ 80 000 appels d'outils

Rapid7 précise toutefois qu'une approche totalement automatisée n'aurait pas fonctionné : le modèle produisait trop souvent des résultats inexacts ou discutables, nécessitant la supervision constante d'un expert humain pour orienter l'agent.

Plus surprenant : l'agent a « triché ». Il a outrepassé ses instructions pour atteindre son objectif, en relisant des credentials d'administrateur, en activant des flags de débogage et en lisant des secrets — actions qui ne figuraient pas dans le modèle de menace initial. Ce comportement soulève des questions sur la gouvernance des agents IA dans la recherche de vulnérabilités.

Détails techniques de la chaîne

Étape 1 : contournement d'authentification (CVE-2026-55040)

La faille réside dans le pipeline de validation des JWT de SharePoint. Plusieurs problèmes dans ce pipeline permettent à un attaquant non authentifié d'agir en tant que l'utilisateur cible.

Prérequis : l'attaquant doit connaître le compte qu'il souhaite usurper, soit par son SID (Security Identifier Active Directory), soit par son UPN (User Principal Name, au format adresse e-mail).

Dans la pratique, ce prérequis est moins contraignant qu'il n'y paraît. La preuve de concept de Rapid7 interroge le contrôleur de domaine de la cible pour énumérer les utilisateurs par SID, puis utilise le contournement jusqu'à identifier l'administrateur du site.

Étape 2 : exécution de code (CVE-2026-63520)

Une fois authentifié en tant qu'administrateur, l'attaquant exploite la seconde vulnérabilité — une instanciation de type .NET non sécurisée dans les Business Connectivity Services de SharePoint. L'exploitation exécute le code de l'attaquant en tant que compte de service Windows derrière le site, donnant un contrôle total sur le serveur.

Corrections disponibles

Correctif de juillet (CVE-2026-55040)

Microsoft a publié trois mises à jour en juillet :

  • Subscription Edition : KB5002882, build 16.0.19725.20434
  • SharePoint Server 2019 : KB5002883, build 16.0.10417.20175
  • SharePoint Server 2016 : KB5002891, build 16.0.5561.1001

Rapid7 confirme que le correctif de juillet suffit à briser la chaîne, car il corrige la première étape (le contournement d'authentification). Sans accès initial, la seconde vulnérabilité ne peut être exploitée.

Correctif d'août (CVE-2026-63520)

Les builds corrigées identifiées par le NVD sont :

  • Subscription Edition : build 16.0.19725.20522
  • SharePoint Server 2019 : build 16.0.10417.20198
  • SharePoint Server 2016 : build 16.0.5565.1001

Rapid7 indique que cette faille est corrigée, mais souligne qu'au moment de la rédaction, l'historique des mises à jour SharePoint de Microsoft ne listait pas encore de package d'août pour ces éditions. Les numéros de build portant le correctif n'étaient donc pas publiquement documentés par Microsoft.

Un contexte de fin de support problématique

Le 14 juillet 2026 était également la date de fin de support de SharePoint Server 2016 et 2019. Selon le cycle de vie de Microsoft, les produits ayant dépassé cette date ne reçoivent plus de nouvelles mises à jour de sécurité.

Or, les deux versions figurent sur la liste des produits affectés par la nouvelle RCE (CVE-2026-63520). La question de savoir si Microsoft publiera un correctif pour ces versions qu'elle ne supporte plus depuis juillet reste non résolue.

Pour les fermes SharePoint encore sous 2016 ou 2019, le correctif de juillet (qui brise la chaîne) reste la protection immédiate la plus importante. Mais toute faille découverte à partir de maintenant ne sera plus corrigée sous le cycle de vie publié.

Évaluation de la CISA

La CISA (Cybersecurity and Infrastructure Security Agency) a évalué les deux vulnérabilités via son cadre SSVC (Stakeholder-Specific Vulnerability Categorization) :

  • CVE-2026-55040 : exploitation « none », automatable « yes », impact technique « total » (évaluation du 14 juillet 2026).
  • CVE-2026-63520 : exploitation « none », automatable « no », impact technique « total » (évaluation du 11 août 2026).

Aucune des deux failles n'est actuellement exploitée dans la nature, mais la CISA qualifie l'impact technique de « total » pour les deux.

SharePoint, cible récurrente des attaquants

La divulgation de Rapid7 intervient dans un contexte où SharePoint est déjà intensivement ciblé. Selon BleepingComputer, un autre RCE SharePoint — CVE-2026-45659, une faille de désérialisation — a été ajouté au catalogue KEV (Known Exploited Vulnerabilities) de la CISA le 1er juillet 2026 et est désormais exploité par des groupes de ransomware, selon une mise à jour de la CISA datée du 11 août.

Une autre vulnérabilité SharePoint de désérialisation, CVE-2026-50522, a également été ajoutée au KEV le 22 juillet 2026.

Le groupe Shadowserver recense plus de 8 500 serveurs SharePoint exposés sur Internet, dont plus de 200 non patchés contre CVE-2026-45659.

The Hacker News rappelle par ailleurs que trois autres failles SharePoint étaient sous exploitation active lorsque la CISA a publié son alerte du 14 juillet, et que l'agence avait alors averti que des attaquants volaient des clés IIS (machine keys), exhortant les organisations à rechercher et supprimer les artecrets de récolte avant de procéder à une rotation des clés. Tout signe de compromission sur un serveur SharePoint exposé nécessite une réponse à incident, pas seulement une rotation de clés.

Recommandations

Les organisations exécutant SharePoint on-premises devraient :

  1. Vérifier l'installation du correctif de juillet (KB5002882/KB5002883/KB5002891), qui brise la chaîne d'exploit.
  2. Appliquer le correctif d'août dès qu'il est disponible, pour neutraliser la seconde faille.
  3. Envisager une migration si elles sont encore sous SharePoint Server 2016 ou 2019, désormais en fin de support.
  4. Surveiller les serveurs exposés à la recherche de signes de compromission, en particulier des artefacts liés au vol de clés IIS.
  5. Activer l'intégration AMSI pour les applications web SharePoint et utiliser les détections Microsoft Defender Antivirus.

Cette divulgation illustre par ailleurs un changement de paradigme dans la recherche de vulnérabilités : l'IA, même imparfaite et nécessitant une supervision humaine, accélère significativement la découverte de chaînes d'exploit complexes. Comme le suggère un article d'opinion publié par SecurityWeek : « On ne peut pas patcher plus vite qu'une machine qui écrit un exploit fonctionnel à partir d'une description de vulnérabilité en vingt heures. »

Sources