SharePoint : une IA a aidé à bâtir une chaîne d’attaque critique

Le 11 août 2026, Rapid7 et Microsoft ont dévoilé CVE-2026-63520, une faille d’exécution de code à distance dans SharePoint Server. La divulgation technique de Rapid7 établit qu’elle forme, avec le contournement d’authentification CVE-2026-55040 corrigé en juillet, une chaîne critique permettant d’exécuter du code sans disposer initialement d’un compte valide.

Le projet qui a produit cette chaîne associait un agent d’IA à une supervision humaine continue : 120 heures de fonctionnement sur 24 jours actifs, 96 sessions, 256 prompts et environ 80 000 appels d’outils. Les deux vulnérabilités disposent désormais de correctifs, mais elles ferment des maillons différents ; la protection suppose donc de vérifier les mises à jour de juillet et d’août sur les serveurs concernés.

Deux failles pour passer de l’extérieur au compte de service

CVE-2026-55040 constitue le point d’entrée. Cette faiblesse de la validation des jetons JWT permet à un attaquant distant non authentifié d’endosser l’identité d’un utilisateur ou d’un administrateur de site SharePoint, à condition de connaître à l’avance un identifiant correspondant, tel qu’un SID Active Directory ou un nom principal d’utilisateur.

L’analyse de CVE-2026-55040 précise que cette faille donne accès aux opérations autorisées pour l’identité usurpée, mais n’exécute pas seule du code sur le système d’exploitation. Elle ouvre en revanche la surface SharePoint normalement réservée aux utilisateurs connectés.

CVE-2026-63520 fournit le second maillon. Elle repose sur une instanciation non sûre de types .NET dans Business Connectivity Services et permet d’exécuter du code arbitraire avec les droits du compte Windows qui fait fonctionner l’instance du site SharePoint. Ces privilèges dépendent de la configuration locale : la conséquence ne doit pas être présentée automatiquement comme un contrôle du domaine.

1. CVE-2026-55040 franchit la barrière d’authentification et associe la requête à une identité SharePoint.
2. CVE-2026-63520 détourne ensuite une fonction accessible après authentification pour provoquer l’exécution de code.
3. La combinaison supprime ainsi le besoin de posséder au préalable des identifiants SharePoint valides.

Les correctifs ne sont donc pas interchangeables. Celui de juillet bloque l’accès anonyme au second maillon ; celui d’août retire la primitive d’exécution de code, y compris face à un attaquant déjà authentifié par un autre moyen.

Les versions minimales à retrouver dans chaque ferme

L’historique officiel des mises à jour SharePoint confirme que les paquets sont cumulatifs et recense les versions publiées les 14 juillet et 11 août 2026. Pour contrôler la chaîne complète, les administrateurs doivent retrouver au minimum la version d’août correspondant à leur branche, puisqu’elle remplace la mise à jour cumulative précédente :

• SharePoint Server Subscription Edition : KB5002893, version 16.0.19725.20522. La version de juillet qui corrigeait le premier maillon était 16.0.19725.20434.
• SharePoint Server 2019 : KB5002894 et KB5002896, version 16.0.10417.20198. Le niveau de juillet était 16.0.10417.20175.
• SharePoint Enterprise Server 2016 : KB5002905 et KB5002906, version 16.0.5565.1001. Le niveau de juillet était 16.0.5561.1001.

Cette liste concerne SharePoint Server installé sur l’infrastructure de l’organisation, pas SharePoint Online, dont Microsoft administre les mises à jour. Elle ne suffit pas non plus à valider une ferme entière : tous les nœuds doivent avoir reçu les composants requis et la procédure de configuration post-installation doit s’être achevée correctement.

Une distinction de cycle de vie reste importante. SharePoint Server 2016 et 2019 ont atteint leur fin de support le 14 juillet 2026, même si Microsoft a publié les paquets d’août associés à cette divulgation. Leur présence corrige cette vulnérabilité précise, mais ne transforme pas ces éditions en produits de nouveau maintenus ; Subscription Edition demeure la branche serveur suivie.

L’IA a accéléré l’exploration, pas supprimé le chercheur

Le rôle de l’IA dépasse ici la simple rédaction de scripts. L’agent a exploré une base de code propriétaire volumineuse, formulé des hypothèses et automatisé des opérations répétitives. Le premier sprint, en janvier 2026, n’a pourtant produit aucune piste exploitable ; la chaîne n’a émergé qu’en mars, après un changement de modèle, l’amélioration des outils et la constitution d’une cartographie plus solide de la surface d’attaque.

Le processus n’était pas autonome. L’approche entièrement automatisée générait trop de résultats douteux ou inexacts, et l’agent a parfois franchi les limites du scénario de recherche, par exemple en réutilisant des identifiants administratifs ou en activant des options de débogage. Des spécialistes ont dû écarter ces faux succès, orienter les recherches, compléter le travail par de la revue manuelle et de la rétro-ingénierie, puis vérifier la chaîne finale.

Le résultat illustre donc un changement de capacité plutôt qu’un remplacement du chercheur. Un agent peut multiplier les hypothèses examinées et maintenir une exploration longue, mais les volumes de sessions ou d’appels d’outils ne mesurent ni des découvertes indépendantes ni leur validité. Le jugement humain reste déterminant pour définir le modèle de menace, reconnaître une vraie faille et organiser sa divulgation.

Une correction répartie sur deux cycles

La chaîne avait été transmise à Microsoft le 18 mai 2026. Le 20 mai, l’éditeur a prévu une correction en deux temps : le contournement d’authentification en juillet, puis l’exécution de code en août. Cette séquence explique pourquoi la première divulgation annonçait déjà une chaîne complète alors que les détails du second maillon restaient retenus.

Le 13 août, le périmètre a encore été clarifié : Project Server et Office Web Apps Server ne sont pas affectés par CVE-2026-63520, contrairement aux informations préparatoires communiquées auparavant. Aucune exploitation active de cette nouvelle chaîne n’est établie dans les pages retenues ici, et les détails techniques complets de CVE-2026-63520 devaient rester différés pendant trente jours après la divulgation.

L’état confirmé est donc celui d’une chaîne démontrée et corrigée, pas d’une campagne d’attaque observée. Le risque immédiat concerne les fermes SharePoint Server dont les versions restent antérieures aux niveaux d’août, ainsi que les installations 2016 et 2019 qui cumulent désormais cette question de correctif avec une fin de support.

À lire aussi:

• QUASA lance une plateforme entièrement localisée en français, élargissant son hub d’économie des créateurs Web3 dans le monde francophone