La CISA ajoute une vulnérabilité RCE de Microsoft SharePoint à sa liste des failles exploitées après l’apparition d’attaques actives

La CISA a ajouté une faille d’exécution de code à distance de Microsoft SharePoint à son catalogue des vulnérabilités connues comme exploitées, après avoir déterminé que celle-ci était utilisée dans des attaques actives.

La vulnérabilité, référencée sous l’identifiant CVE-2026-45659, affecte SharePoint Server Subscription Edition, SharePoint Server 2019 et SharePoint Enterprise Server 2016 dans leurs versions locales. Microsoft a corrigé cette faille en mai, mais son ajout par l’agence à la liste KEV indique que des acteurs malveillants l’exploitent désormais dans la nature.

La faille est liée à une désérialisation non sécurisée et ne nécessite pas de préauthentification. Toutefois, son exploitation reste accessible aux attaquants disposant d’un accès légitime à un environnement SharePoint. Microsoft a indiqué qu’un utilisateur authentifié disposant de simples autorisations de membre de site pouvait déclencher une exécution de code à distance sur un serveur vulnérable via le réseau.

Ce que déclarent Microsoft et la CISA

• Microsoft a évalué la faille comme difficile à exploiter dans des scénarios réels lors de la publication du correctif, estimant que son exploitation était peu probable.
• L’inscription dans la liste KEV de la CISA montre que son exploitation active a depuis été confirmée.
• La faille affiche un score CVSS de 8,8, ce qui correspond à un impact de gravité élevée.

La CISA n’a pas identifié les attaquants ni indiqué combien d’organisations pourraient déjà être touchées. L’agence a néanmoins averti que les vulnérabilités de ce type sont couramment exploitées et peuvent représenter un risque important pour les systèmes fédéraux.

Il a été demandé aux agences civiles fédérales de suivre la directive opérationnelle contraignante 26-04 et d’appliquer le correctif de Microsoft avant le 4 juillet. Si l’atténuation n’est pas possible, les agences sont censées cesser d’utiliser les produits concernés.

Cette situation illustre un schéma bien connu de la réponse aux vulnérabilités : une fois les correctifs publiés, les attaquants s’empressent souvent de les rétroconcevoir et de cibler les systèmes qui n’ont pas encore été mis à jour. Pour les organisations exploitant des serveurs SharePoint accessibles depuis Internet, cette nouvelle inscription dans la liste KEV constitue un signal clair : elles doivent immédiatement vérifier l’état des correctifs et réduire leur exposition.