Des attaquants exploitent une faille critique de Microsoft SharePoint, corrigée le 14 juillet dernier, depuis la publication d’un code de démonstration avant-hier. Ils dérobent des clés de machine sur les serveurs on-premise vulnérables, un moyen de conserver l’accès même une fois le correctif appliqué.
C’est une note que n’importe quel athlète de patinage artistique rêverait d’obtenir. Mais c’est moins glorieux lorsqu’il s’agit d’une faille RCE.
Microsoft note CVE-2026-50522 à 9,8 sur 10, le niveau maximal, pour les éditions locales de SharePoint Enterprise Server 2016, Server 2019 et Subscription Edition, sans toucher à SharePoint Online. La faille relève d'une désérialisation de données non fiables, un défaut par lequel un serveur traite comme fiable un contenu forgé par un tiers. Même sans identifiant, un cybercriminel peut exploiter ce défaut pour exécuter du code à distance sur la machine visée, sans interaction de la victime. Dans la mise à jour de juillet, Microsoft avait déjà corrigé cette faille, sans preuve d’exploitation à l’époque. Puis, le 20 juillet, un chercheur en sécurité a publié sur GitHub un code de démonstration. La société de cybersécurité offensive watchTowr a alors observé des intrusions réussies en quelques heures, via son réseau de pièges numériques Attacker Eye. Les intrus volent aussi des clés de machine et des secrets cryptographiques utiles à la falsification de jetons d’authentification.
Un code de démonstration déclenche des attaques en quelques heures
Le 17 juillet, la société de veille des menaces Defused a détecté un vecteur de désérialisation SharePoint jusque-là inconnu dans des attaques réelles, sans pouvoir le relier à une faille précise. Le 21 juillet, l’entreprise a confirmé que cette activité correspondait vraisemblablement à l’exploitation de CVE-2026-50522. Un chercheur en sécurité, Janggggg, signe dès le 20 juillet un script PowerShell déposé sur GitHub. Ce script reproduit la mécanique de l’attaque. L’attaquant dissimule sa charge malveillante, construite avec le désérialiseur . NET BinaryFormatter, dans le cookie d’un jeton de sécurité forgé. Il achemine ce jeton via une réponse de connexion WS-Federation, postée vers l’adresse /_trust/default.aspx de SharePoint. Si le serveur traite ce jeton par un chemin de désérialisation vulnérable, l'attaquant obtient l’exécution de code arbitraire.
SharePoint utilise ces clés de machine pour chiffrer et signer les jetons ASP.NET de toute la ferme de serveurs. En possession de ces clés, un attaquant forge de nouvelles sessions authentifiées longtemps après l’installation du correctif, sans reprendre l’exploit initial.
En quelques heures, le réseau Attacker Eye de watchTowr a capté des tentatives d’exploitation ayant compromis des cibles. Cependant, personne n'a établi de lien formel entre cette publication et les attaques observées, ni confirmé que les intrus utilisaient précisément ce code.
Trois failles SharePoint ont subi des attaques en un mois
CVE-2026-50522 n’est pas un cas isolé ce mois-ci. Des attaquants ont déjà exploité activement deux autres vulnérabilités SharePoint corrigées lors du même Patch Tuesday, CVE-2026-56164 et CVE-2026-58644, avant même leur correction. L’agence américaine de cybersécurité CISA a averti que des attaquants exploitaient plusieurs failles SharePoint à la fois, dont CVE-2026-32201 et CVE-2026-45659, pour obtenir un accès non autorisé aux serveurs.
Microsoft connaissait déjà le mécanisme de cette faille avant sa correction. Des chercheurs l’avaient présentée plus tôt cette année lors du concours de piratage Pwn2Own, à Berlin, et avaient transmis leur méthode à l’éditeur. Personne n’a pourtant recensé d’attaque entre cette démonstration encadrée et la publication du code public le 20 juillet.
La chaîne d’attaques ToolShell utilisait déjà cette même technique de vol de clés de machine l’an dernier sur les mêmes éditions locales de SharePoint. Des groupes liés à la Chine ont volé ces clés cryptographiques et ont conservé, grâce à elles, un accès persistant à plus de 400 organisations dans le monde.
Les administrateurs sont vivement invités à neutraliser la vulnérabilité en installant le correctif de juillet, mais watchTowr recommande en plus la rotation des identifiants sur tout serveur potentiellement exposé.
