Points cl\u00e9s<\/p>\n
- \n
- Corriger d’abord l’authentification.<\/strong> La CVE-2026-55040 constitue la porte d’entr\u00e9e. Sans session valide, la cha\u00eene RCE d\u00e9crite par Rapid7 ne peut \u00eatre exploit\u00e9e.<\/li>\n
- L’identit\u00e9 suffit.<\/strong> Un identifiant SID ou un nom d’utilisateur principal (UPN) de l’utilisateur cible permet de prendre le contr\u00f4le de son identit\u00e9.<\/li>\n
- Privil\u00e9gier les environnements locaux.<\/strong> Les serveurs SharePoint expos\u00e9s \u00e0 Internet doivent \u00eatre identifi\u00e9s en priorit\u00e9, plut\u00f4t que de se contenter d’une liste de CVE.<\/li>\n
- Surveiller un second zero-day.<\/strong> Selon Microsoft, la CVE-2026-56164 (\u00e9l\u00e9vation de privil\u00e8ges dans SharePoint) a d\u00e9j\u00e0 \u00e9t\u00e9 exploit\u00e9e. V\u00e9rifier la mise en place des att\u00e9nuations AMSI.<\/li>\n<\/ul>\n<\/div>\n
\u00c0 lire aussi :<\/span>Le fournisseur le plus faible ouvre la br\u00e8che dans l’installation critique<\/a> \/<\/span> Un pilote sign\u00e9 rend la protection des terminaux aveugle<\/a><\/p>\n
Ce que la faille CVE-2026-55040 brise<\/h2>\n
Qu\u2019est-ce que le contournement JWT de SharePoint ?<\/strong> La CVE-2026-55040 est une vuln\u00e9rabilit\u00e9 affectant la validation des jetons JWT (JSON Web Token) dans Microsoft SharePoint. Un attaquant distant non authentifi\u00e9 peut contourner l\u2019authentification et ex\u00e9cuter des op\u00e9rations en tant qu\u2019utilisateur ou administrateur du site, \u00e0 condition de conna\u00eetre l\u2019identit\u00e9 cible.<\/p>\n
Cette faille a \u00e9t\u00e9 d\u00e9couverte par Stephen Fewer, chercheur chez Rapid7 Labs, dans le cadre d\u2019un projet de recherche sur les zero-days. La coordination avec Microsoft a d\u00e9but\u00e9 le 18 mai 2026. Le 14 juillet 2026, la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 rendue publique en m\u00eame temps que le correctif de juillet.<\/p>\n
\n9,1<\/div>\nScore CVSS v3.1 pour la CVE-2026-55040 (Critique)<\/p>\n
Source : Rapid7 \/ Calculateur FIRST<\/p>\n<\/div>\n
La condition pr\u00e9alable est pr\u00e9cise : l\u2019attaquant doit conna\u00eetre la personne cible, par exemple via un SID Active Directory ou un UPN (g\u00e9n\u00e9ralement sous la forme d\u2019une adresse e-mail). Une fois cette information obtenue, il peut usurper l\u2019identit\u00e9. Rapid7 d\u00e9crit dans sa preuve de concept (PoC) une \u00e9num\u00e9ration de SID suivie d\u2019une prise de contr\u00f4le d\u2019identit\u00e9 pouvant aller jusqu\u2019au r\u00f4le d\u2019administrateur du site.<\/p>\n
\nD\u00e9finition · Contournement d\u2019authentification JWT<\/p>\n
Un attaquant contourne la v\u00e9rification du jeton et se fait passer pour un utilisateur connu de SharePoint, sans conna\u00eetre son mot de passe.<\/p>\n<\/div>\n
Pourquoi le contournement d’authentification bloque la cha\u00eene d’ex\u00e9cution de code \u00e0 distance<\/h2>\n
Rapid7 a combin\u00e9 ce contournement avec une vuln\u00e9rabilit\u00e9 distincte d’ex\u00e9cution de code \u00e0 distance (RCE) pour aboutir \u00e0 une ex\u00e9cution de code \u00e0 distance non authentifi\u00e9e. Microsoft pr\u00e9voit de corriger la partie RCE lors du cycle de correctifs d’ao\u00fbt. Le correctif de juillet pour la CVE-2026-55040 interrompt d\u00e9j\u00e0 cette cha\u00eene. Les contournements d’authentification ne sont donc pas des probl\u00e8mes de gravit\u00e9 moyenne. Ils ouvrent int\u00e9gralement la surface d’attaque authentifi\u00e9e.<\/p>\n
Parall\u00e8lement, le Patch Tuesday de juillet traite la CVE-2026-56164, une \u00e9l\u00e9vation de privil\u00e8ges dans SharePoint activement exploit\u00e9e selon Microsoft (CVSS 5.3, niveau Mod\u00e9r\u00e9). Les versions concern\u00e9es sont SharePoint Server 2016, 2019 et l’\u00e9dition par abonnement. Microsoft souligne l’int\u00e9gration d’AMSI comme m\u00e9thode suppl\u00e9mentaire de d\u00e9tection des requ\u00eates POST malveillantes. Cela compl\u00e8te le correctif sans s’y substituer.<\/p>\n
Priorit\u00e9 pour les administrateurs DACH<\/h2>\n
Commencez par inventorier : quels serveurs SharePoint sont ex\u00e9cut\u00e9s en local (on-prem) et accessibles depuis Internet ? Chaque instance de ce type doit faire l’objet d’un correctif d’urgence. V\u00e9rifiez ensuite leur niveau de correctif par rapport aux mises \u00e0 jour de juillet. Documentez les versions. Pr\u00e9parez un plan de retour arri\u00e8re, mais ne reportez pas l’application des correctifs.<\/p>\n
Ensuite, analysez les traces d’activit\u00e9 suspecte : activit\u00e9s inhabituelles d’administrateurs de sites, nouveaux composants Web, t\u00e9l\u00e9chargements de fichiers suspects, anomalies d’authentification et de jetons dans les journaux. Ceux qui ne se concentrent que sur les CVE (vuln\u00e9rabilit\u00e9s connues) et ignorent les expositions perdent un temps pr\u00e9cieux.<\/p>\n
\nSharePoint on-prem maintenant<\/p>\n
- \n
- ✓<\/span>Appliquer les mises \u00e0 jour de juillet 2026 pour SharePoint Server et v\u00e9rifier le niveau de version<\/li>\n
- ✓<\/span>Inventorier les instances SharePoint expos\u00e9es sur Internet et \u00e9liminer les expositions<\/li>\n
- ✓<\/span>V\u00e9rifier l’int\u00e9gration d’AMSI pour SharePoint (mesure d’att\u00e9nuation de Microsoft pour les chemins EoP associ\u00e9s)<\/li>\n
- ✓<\/span>Analyser les comptes d’administrateurs et de sites pour d\u00e9tecter des connexions inhabituelles et des motifs de jetons<\/li>\n
- ✓<\/span>Suivre s\u00e9par\u00e9ment les contournements d’authentification et la cha\u00eene RCE : planifier le correctif d’ao\u00fbt pour la composante RCE<\/li>\n<\/ul>\n<\/div>\n
Ce que doit \u00eatre la configuration du conseil d’administration<\/h2>\n
SharePoint local reste une surface d’attaque tant que les chemins d’authentification sont faibles et que les instances sont expos\u00e9es. La CVE-2026-55040 le d\u00e9montre : les plateformes de collaboration sont des couches de gestion. Ceux qui les patchent et les retirent d’Internet brisent les cha\u00eenes. Ceux qui attendent paieront le prix fort pour leur part de RCE en ao\u00fbt.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nLa vuln\u00e9rabilit\u00e9 CVE-2026-55040 est-elle exploitable \u00e0 distance ?<\/strong><\/summary>\n
Oui. Rapid7 d\u00e9crit une voie d\u2019attaque \u00e0 distance non authentifi\u00e9e. La condition pr\u00e9alable est la connaissance de l\u2019identit\u00e9 cible (SID ou UPN).<\/p>\n<\/details>\n
\nLe correctif de juillet suffit-il \u00e0 combler l\u2019int\u00e9gralit\u00e9 de la cha\u00eene d\u2019exploitation RCE ?<\/strong><\/summary>\n
Il contourne la cha\u00eene d\u00e9crite par Rapid7 au niveau de la contournement d’authentification (Auth-Bypass). La composante distincte d’ex\u00e9cution de code \u00e0 distance (RCE) devrait suivre lors du cycle de correctifs d’ao\u00fbt. Malgr\u00e9 cela, il est imp\u00e9ratif d’appliquer le correctif imm\u00e9diatement.<\/p>\n<\/details>\n
\nCela concerne SharePoint Online ?<\/strong><\/summary>\n
Le pr\u00e9sent avis cible les serveurs SharePoint et le pipeline de validation JWT des produits serveurs concern\u00e9s. L\u2019\u00e9tendue exacte des correctifs est pr\u00e9cis\u00e9e dans l\u2019entr\u00e9e du MSRC (Microsoft Security Response Center) relative \u00e0 chaque build.<\/p>\n<\/details>\n
\nQuelle est la diff\u00e9rence avec la CVE-2026-56164 ?<\/strong><\/summary>\n
56164 est une EoP (Escalade de Privil\u00e8ges) avec exploitation confirm\u00e9e dans la nature. 55040 est un contournement d’authentification JWT avec un score CVSS de 9,1 et un potentiel de cha\u00eene vers une ex\u00e9cution de code \u00e0 distance (RCE).<\/p>\n<\/details>\n
\nQuelles mesures d’att\u00e9nuation s’appliquent en plus du correctif ?<\/strong><\/summary>\n
R\u00e9duire l\u2019exposition sur Internet, activer l\u2019AMSI pour SharePoint, surveiller les comptes administrateurs et alerter en cas d\u2019op\u00e9rations inhabituelles sur les sites.<\/p>\n<\/details>\n
<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/kritis-lieferkette-zulieferer-resilienz-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Le plus faible des fournisseurs ouvre l\u2019installation critique<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-8-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Un pilote sign\u00e9 rend la protection des points de terminaison aveugle<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-wenn-gpus-den-saas-etat-auffressen-24878004.jpg\")
<\/span>cloudmagazin<\/span>Comment les GPU pourraient d\u00e9vorer l\u2019\u00e9tat SaaS<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-wann-sich-deutsches-ki-modell-rechnet-45689807-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>Quand un mod\u00e8le d\u2019IA allemand devient rentable<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"CVE-2026-55040 : faille critique (CVSS 9.1) permettant un contournement JWT non authentifi\u00e9. Correctif de juillet et guide pour les admins locaux.","protected":false},"author":10,"featured_media":22103,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"contournement jwt sharepoint cve-2026-55040","_yoast_wpseo_title":"Contournement JWT SharePoint : sites locaux expos\u00e9s","_yoast_wpseo_metadesc":"CVE-2026-55040 : contournement JWT SharePoint non authentifi\u00e9 (CVSS 9.1). Correctif Rapid7, mise \u00e0 jour de juillet et checklist pour les admins.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256],"tags":[],"class_list":["post-22185","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr"],"evm_reading_time_minutes":6,"wpml_language":"fr","wpml_translation_of":22102,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22185","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=22185"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22185\/revisions"}],"predecessor-version":[{"id":22188,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22185\/revisions\/22188"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/22103"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=22185"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=22185"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=22185"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - ✓<\/span>Inventorier les instances SharePoint expos\u00e9es sur Internet et \u00e9liminer les expositions<\/li>\n
- L’identit\u00e9 suffit.<\/strong> Un identifiant SID ou un nom d’utilisateur principal (UPN) de l’utilisateur cible permet de prendre le contr\u00f4le de son identit\u00e9.<\/li>\n