Une nouvelle alerte cybersécurité circule autour de CVE-2026-55040 : une vulnérabilité SharePoint corrigée le mois dernier est désormais exploitée dans la nature, avec des attaques qui auraient débuté peu après la publication d’un code de preuve de concept (PoC). Ce décalage entre le correctif et l’industrialisation des abus illustre une réalité de plus en plus fréquente : une fois qu’un PoC apparaît, le risque peut augmenter rapidement.
Dans cet article, on fait le point sur ce que l’on sait de l’attaque, sur la nature du problème, et surtout sur les actions prioritaires pour réduire l’exposition dans vos environnements SharePoint.
Ce que permet la faille CVE-2026-55040
Microsoft a associé CVE-2026-55040 à un problème lié à l’authentification. D’après les éléments communiqués, la faiblesse permet à un attaquant de contourner une fonction de sécurité via une approche basée sur le réseau.
Microsoft explique que l’exploitation de la vulnérabilité pourrait conduire à la divulgation de fichiers et à la modification de données. Dans un scénario d’attaque réseau, un adversaire sans authentification pourrait contourner l’authentification et établir une connexion anonyme.
Autrement dit, le cœur du risque ne se limite pas à une simple erreur technique : il s’agit d’une condition qui peut ouvrir la porte à des actions non autorisées.
Chronologie : du patch de juillet au PoC publié
Le correctif de CVE-2026-55040 a été déployé par Microsoft lors du Patch Tuesday de juillet. Après cela, la dynamique change : des chercheurs ont ensuite rendu publics des détails techniques, puis un script de preuve de concept.
Le point clé, rapporté par les observateurs du secteur, est que les tentatives d’exploitation auraient démarré peu après la mise à disposition de la preuve de concept. En pratique, cela signifie que le PoC a probablement facilité la reproductibilité de l’attaque et réduit la barrière technique pour de nouveaux acteurs.
Rapid7 détaille la technique et fournit un PoC
Le 11 août, Rapid7 a publié les détails techniques associés à CVE-2026-55040. L’entreprise y décrit comment un attaquant distant non authentifié pourrait tirer parti de la faiblesse pour contourner l’authentification et effectuer des opérations en se plaçant dans le contexte d’un utilisateur ou d’un administrateur de site SharePoint.
Rapid7 a également mis à disposition un script PoC. Cette publication a ensuite servi de référence, notamment pour des tentatives observées dans des environnements de détection.
Des tentatives repérées via des honeypots
Le 12 août, Defused a rapporté que ses honeypots avaient enregistré des tentatives d’exploitation visant précisément CVE-2026-55040. Selon l’entreprise, ces tentatives s’appuieraient sur le PoC publié par Rapid7.
À noter : même si le bulletin de sécurité de Microsoft ne mentionnait pas explicitement une exploitation active au moment où il a été publié, il n’est pas inhabituel que les conseils et avis évoluent quelques jours après que des faits nouveaux sont confirmés dans la télémétrie.
Pourquoi ce type d’exploitation se répand vite
Quand une vulnérabilité de type contournement d’authentification apparaît, elle présente souvent deux caractéristiques qui accélèrent la propagation :
- Un champ d’action clair : l’attaquant cherche à établir des actions sans s’authentifier.
- Un avantage technologique immédiat dès qu’un PoC est disponible, car il réduit le travail d’adaptation.
Dans le cas présent, la combinaison d’un correctif déjà disponible (mais potentiellement pas encore appliqué partout) et d’un PoC public peut expliquer pourquoi les attaques se matérialisent rapidement.
Une recommandation claire de la CISA
Du côté des autorités, la CISA a appelé les organisations à vérifier que leurs instances SharePoint sont à jour et correctement protégées. Le contexte est lié à une vague d’attaques et à l’inquiétude que CVE-2026-55040 soit exploitée dans la nature.
Au moment des informations rapportées, la CISA n’avait pas encore ajouté cette vulnérabilité à son catalogue KEV (Known Exploited Vulnerabilities), qui recense plusieurs failles SharePoint. Cela ne diminue pas le risque : l’absence d’inscription peut simplement refléter le délai de confirmation et de mise à jour.
La série de vulnérabilités SharePoint cet été
CVE-2026-55040 s’inscrit dans une période déjà marquée par des révélations de failles SharePoint dont l’exploitation a été mise en évidence. Le rapport mentionne que cette vulnérabilité serait la cinquième de la série dont des abus sont rapportés cet été, après d’autres références : CVE-2026-50522, CVE-2026-58644, CVE-2026-56164 et CVE-2026-45659.
En revanche, il n’existe pas d’informations publiques établissant clairement qui serait à l’origine de l’exploitation de ces faiblesses. À ce stade, on observe surtout la tendance : des vulnérabilités récurrentes, une exploitation qui se déclenche, puis une difficulté à attribuer précisément les acteurs.
Risque complémentaire : CVE-2026-63520 et chaînage d’attaques
Une autre alerte concerne une vulnérabilité distincte : CVE-2026-63520. Rapid7 indique avoir découvert cette faille SharePoint qui pourrait être enchaînée avec CVE-2026-55040 pour atteindre une exécution de code à distance non authentifiée sur des serveurs.
D’après les informations disponibles, CVE-2026-63520 a également été corrigée par Microsoft dans le cadre du Patch Tuesday d’août. À ce stade, il n’y a pas d’indications que cette seconde faille fasse déjà l’objet d’exploitations dans les attaques observées.
Le point important ici est le principe du chaînage : même si une vulnérabilité n’est pas encore largement observée, sa combinaison avec une autre faiblesse exploitable peut augmenter l’impact potentiel.
Que faire concrètement pour réduire le risque
Face à une CVE-2026-55040 exploitation observée dans la nature, l’action prioritaire reste la même : corriger et contrôler. Voici les mesures à considérer en priorité dans vos procédures de sécurité.
1) Vérifier l’application des correctifs
Confirmez que les correctifs Microsoft liés à CVE-2026-55040 (déployés lors du Patch Tuesday de juillet) ont bien été appliqués sur toutes les instances concernées. Faites la distinction entre environnements (production, test, sauvegardes utilisables, etc.) pour éviter qu’une configuration moins contrôlée ne reste exposée.
2) Renforcer la surveillance
Surveillez les journaux et les signaux liés à l’authentification, aux tentatives réseau et aux comportements anormaux sur les sites SharePoint. Puisqu’un PoC est disponible, les attaques peuvent varier dans leurs détails tout en conservant un objectif commun.
3) Évaluer aussi la vulnérabilité associée
Même si l’actualité porte fortement sur CVE-2026-55040, le risque de chaînage avec CVE-2026-63520 mérite une vérification. Assurez-vous que le correctif d’août est également en place et que vos contrôles de réduction de surface d’attaque sont à jour.
4) Revoir les contrôles d’accès
La faiblesse décrite implique un contournement de l’authentification et des opérations possibles en contexte utilisateur ou administrateur de site. Il est donc essentiel de limiter les comptes privilégiés, de vérifier les permissions et de s’assurer que les règles d’accès internes sont strictes.
Conclusion
La situation autour de CVE-2026-55040 exploitation montre comment une vulnérabilité corrigée peut rapidement devenir un sujet d’attaque active, surtout quand un PoC est rendu public. Les informations partagées indiquent que des tentatives ciblant la faille ont été observées, et que le script publié par Rapid7 a pu servir de base à ces abus.
Dans ce contexte, la priorité reste de mettre à jour, de surveiller et de vérifier les correctifs connexes, notamment pour limiter le risque de scénarios plus complexes.
Source: https://www.securityweek.com/sharepoint-vulnerability-exploited-shortly-after-poc-release/
