Points cl\u00e9s<\/p>\n
- \n
- Corrigez l’authentification en priorit\u00e9.<\/strong> La CVE-2026-55040 constitue la porte d’entr\u00e9e. Sans session valide, la cha\u00eene RCE d\u00e9crite par Rapid7 est rompue.<\/li>\n
- L’identit\u00e9 suffit.<\/strong> Un SID (Security Identifier) ou un UPN (User Principal Name) de l’utilisateur cible est suffisant pour usurper son identit\u00e9.<\/li>\n
- Privil\u00e9giez les environnements locaux.<\/strong> Les serveurs SharePoint expos\u00e9s \u00e0 Internet doivent \u00eatre prioris\u00e9s dans l’inventaire, et non la simple liste des CVE.<\/li>\n
- Surveillez un second zero-day.<\/strong> Selon Microsoft, la CVE-2026-56164 (SharePoint EoP) a d\u00e9j\u00e0 \u00e9t\u00e9 exploit\u00e9e. V\u00e9rifiez les att\u00e9nuations AMSI.<\/li>\n<\/ul>\n<\/div>\n
Articles associ\u00e9s :<\/span>Le fournisseur le plus vuln\u00e9rable ouvre la br\u00e8che dans l’installation critique<\/a> \/<\/span> Un pilote sign\u00e9 rend la protection des terminaux aveugle<\/a><\/p>\n
Ce que CVE-2026-55040 brise<\/h2>\n
Qu\u2019est-ce que le contournement de JWT dans SharePoint ?<\/strong> CVE-2026-55040 est une vuln\u00e9rabilit\u00e9 affectant la validation des jetons JWT (JSON Web Token) dans Microsoft SharePoint. Un attaquant distant non authentifi\u00e9 peut contourner l\u2019authentification et ex\u00e9cuter des op\u00e9rations en tant qu\u2019utilisateur ou administrateur du site, \u00e0 condition de conna\u00eetre l\u2019identit\u00e9 cible.<\/p>\n
Cette faille a \u00e9t\u00e9 d\u00e9couverte par Stephen Fewer, chercheur chez Rapid7 Labs, dans le cadre d\u2019un projet de recherche sur les zero-days. La coordination avec Microsoft a d\u00e9but\u00e9 le 18 mai 2026. Le 14 juillet 2026, la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 rendue publique en m\u00eame temps que le correctif mensuel de juillet.<\/p>\n
\n9,1<\/div>\nScore CVSS v3.1 pour CVE-2026-55040 (Critique)<\/p>\n
Source : Rapid7 \/ Calculateur FIRST<\/p>\n<\/div>\n
La condition pr\u00e9alable est pr\u00e9cise : l\u2019attaquant doit conna\u00eetre la personne cible, par exemple via un SID Active Directory ou un UPN (User Principal Name, g\u00e9n\u00e9ralement sous forme d\u2019adresse e-mail). Une fois cette information obtenue, il peut usurper l\u2019identit\u00e9. Rapid7 d\u00e9crit dans sa preuve de concept (PoC) une \u00e9num\u00e9ration de SID suivie d\u2019une prise de contr\u00f4le d\u2019identit\u00e9 pouvant mener jusqu\u2019aux droits d\u2019administrateur du site.<\/p>\n
\nD\u00e9finition · Contournement d\u2019authentification JWT<\/p>\n
Un attaquant contourne la v\u00e9rification du jeton et se fait passer pour un utilisateur connu de SharePoint, sans conna\u00eetre son mot de passe.<\/p>\n<\/div>\n
Pourquoi le contournement d’authentification bloque la cha\u00eene d’ex\u00e9cution de code \u00e0 distance<\/h2>\n
Rapid7 a encha\u00een\u00e9 ce contournement avec une vuln\u00e9rabilit\u00e9 distincte d’ex\u00e9cution de code \u00e0 distance (RCE) pour permettre une ex\u00e9cution de code \u00e0 distance non authentifi\u00e9e. Microsoft pr\u00e9voit de traiter la partie RCE lors de son cycle de correctifs d’ao\u00fbt. Le correctif de juillet pour la CVE-2026-55040 interrompt d\u00e9j\u00e0 cette cha\u00eene. Les contournements d’authentification ne sont donc pas des probl\u00e8mes de gravit\u00e9 moyenne. Ils ouvrent enti\u00e8rement la surface d’attaque authentifi\u00e9e.<\/p>\n
Parall\u00e8lement, le Patch Tuesday de juillet corrige \u00e9galement la CVE-2026-56164, une \u00e9l\u00e9vation de privil\u00e8ges dans SharePoint activement exploit\u00e9e selon Microsoft (CVSS 5.3, gravit\u00e9 mod\u00e9r\u00e9e). Les versions concern\u00e9es sont SharePoint Server 2016, 2019 et l’\u00e9dition par abonnement. Microsoft souligne l’int\u00e9gration d’AMSI (Antimalware Scan Interface) comme m\u00e9canisme suppl\u00e9mentaire de d\u00e9tection des requ\u00eates POST malveillantes. Cela compl\u00e8te le correctif sans le remplacer.<\/p>\n
Priorit\u00e9 pour les administrateurs DACH<\/h2>\n
Premier imp\u00e9ratif : inventorier les serveurs SharePoint. Quelles instances on-premises sont accessibles depuis Internet ? Chaque instance concern\u00e9e doit faire l\u2019objet d\u2019un correctif urgent. Ensuite, v\u00e9rifier l\u2019\u00e9tat des correctifs par rapport aux mises \u00e0 jour de juillet. Documenter les versions. Pr\u00e9parer un plan de retour arri\u00e8re, mais ne pas reporter l\u2019application des correctifs.<\/p>\n
Puis, analyser les traces d\u2019identit\u00e9 : activit\u00e9s inhabituelles des administrateurs de sites, nouveaux composants Web, t\u00e9l\u00e9chargements de fichiers suspects, anomalies de jetons et d\u2019authentification dans les journaux. Se concentrer uniquement sur les CVE et ignorer les expositions revient \u00e0 perdre un temps pr\u00e9cieux.<\/p>\n
\nSharePoint on-premises \u2013 actions imm\u00e9diates<\/p>\n
- \n
- ✓<\/span>Appliquer les mises \u00e0 jour de juillet 2026 pour SharePoint Server et v\u00e9rifier le num\u00e9ro de build<\/li>\n
- ✓<\/span>Inventorier les instances SharePoint expos\u00e9es sur Internet et \u00e9liminer les expositions<\/li>\n
- ✓<\/span>V\u00e9rifier l\u2019int\u00e9gration d\u2019AMSI pour SharePoint (att\u00e9nuation Microsoft pour les chemins EoP associ\u00e9s)<\/li>\n
- ✓<\/span>Analyser les comptes administrateurs et de sites pour d\u00e9tecter des connexions inhabituelles et des motifs de jetons<\/li>\n
- ✓<\/span>Suivre s\u00e9par\u00e9ment les contournements d\u2019authentification et la cha\u00eene RCE : planifier le correctif d\u2019ao\u00fbt pour la composante RCE<\/li>\n<\/ul>\n<\/div>\n
Ce que doit \u00eatre la configuration du conseil d’administration<\/h2>\n
Les instances locales de SharePoint restent une surface d’attaque tant que les chemins d’authentification sont faibles et que les instances sont expos\u00e9es. La CVE-2026-55040 le d\u00e9montre : les plateformes de collaboration sont des couches de gestion. Qui les patch et les retire d’Internet brise les cha\u00eenes. Qui attend s’offre une part de RCE en ao\u00fbt \u00e0 un prix bien plus \u00e9lev\u00e9.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nLa vuln\u00e9rabilit\u00e9 CVE-2026-55040 est-elle exploitable \u00e0 distance ?<\/strong><\/summary>\n
Oui. Rapid7 d\u00e9crit une voie d\u2019attaque \u00e0 distance non authentifi\u00e9e. La condition pr\u00e9alable est la connaissance de l\u2019identit\u00e9 cible (SID ou UPN).<\/p>\n<\/details>\n
\nLe correctif de juillet suffit-il pour contrer l\u2019ensemble de la cha\u00eene RCE ?<\/strong><\/summary>\n
Il contourne la cha\u00eene d\u00e9crite par Rapid7 au niveau du contournement d’authentification (auth-bypass). La composante RCE (ex\u00e9cution de code \u00e0 distance) distincte devrait suivre lors du cycle de mise \u00e0 jour d’ao\u00fbt. Patcher imm\u00e9diatement malgr\u00e9 tout.<\/p>\n<\/details>\n
\nCela concerne-t-il SharePoint Online ?<\/strong><\/summary>\n
Cette divulgation concerne les serveurs SharePoint et le pipeline de validation JWT des produits serveurs concern\u00e9s. La port\u00e9e exacte des correctifs est pr\u00e9cis\u00e9e dans l’entr\u00e9e du MSRC (Microsoft Security Response Center) relative \u00e0 chaque build.<\/p>\n<\/details>\n
\nQuelle est la diff\u00e9rence avec CVE-2026-56164 ?<\/strong><\/summary>\n
56164 est une EoP (\u00c9l\u00e9vation de Privil\u00e8ges) avec exploitation confirm\u00e9e en environnement r\u00e9el. 55040 est une faille d’authentification JWT (JSON Web Token) avec un score CVSS de 9,1 et un potentiel de cha\u00eene d’attaque menant \u00e0 une ex\u00e9cution de code \u00e0 distance (RCE).<\/p>\n<\/details>\n
\nQuelles mesures d\u2019att\u00e9nuation s\u2019appliquent en compl\u00e9ment du correctif ?<\/strong><\/summary>\n
R\u00e9duire l\u2019exposition sur Internet, activer l\u2019AMSI pour SharePoint, surveiller les comptes administrateurs et alerter en cas d\u2019op\u00e9rations inhabituelles sur les sites.<\/p>\n<\/details>\n
<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/kritis-lieferkette-zulieferer-resilienz-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Le plus faible des fournisseurs ouvre l\u2019installation critique<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-8-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Un pilote sign\u00e9 rend la protection des points de terminaison aveugle<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-wenn-gpus-den-saas-etat-auffressen-24878004.jpg\")
<\/span>cloudmagazin<\/span>Comment les GPU pourraient d\u00e9vorer l\u2019\u00e9tat SaaS<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-wann-sich-deutsches-ki-modell-rechnet-45689807-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>Quand un mod\u00e8le d\u2019IA allemand devient rentable<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"CVE-2026-55040 : faille critique (CVSS 9.1) permettant un contournement JWT non authentifi\u00e9. Correctif juillet et guide pour admins locaux.","protected":false},"author":10,"featured_media":22103,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"contournement jwt sharepoint cve-2026-55040","_yoast_wpseo_title":"Contournement JWT SharePoint : sites locaux expos\u00e9s","_yoast_wpseo_metadesc":"CVE-2026-55040 : contournement JWT SharePoint non authentifi\u00e9 (CVSS 9.1). Correctif Rapid7, mise \u00e0 jour juillet et checklist pour admins.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256],"tags":[],"class_list":["post-22113","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr"],"evm_reading_time_minutes":6,"wpml_language":"fr","wpml_translation_of":22102,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22113","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=22113"}],"version-history":[{"count":2,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22113\/revisions"}],"predecessor-version":[{"id":22133,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22113\/revisions\/22133"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/22103"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=22113"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=22113"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=22113"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - ✓<\/span>Inventorier les instances SharePoint expos\u00e9es sur Internet et \u00e9liminer les expositions<\/li>\n
- L’identit\u00e9 suffit.<\/strong> Un SID (Security Identifier) ou un UPN (User Principal Name) de l’utilisateur cible est suffisant pour usurper son identit\u00e9.<\/li>\n