La CISA ajoute la vulnérabilité RCE de SharePoint CVE-2026-45659 à sa liste des vulnérabilités exploitées

L’Agence américaine de cybersécurité et de sécurité des infrastructures a ajouté une faille d’exécution de code à distance affectant Microsoft SharePoint Server, référencée sous le numéro CVE-2026-45659, à son catalogue des vulnérabilités exploitées connues après avoir confirmé qu’elle faisait l’objet d’une exploitation active dans la nature.

Cette vulnérabilité affiche un score CVSS de 8,8 et résulte d’une désérialisation non sécurisée de données non fiables. Microsoft a corrigé la faille en mai 2026 dans SharePoint Server Subscription Edition, SharePoint Server 2019 et SharePoint Enterprise Server 2016. Selon l’éditeur, un attaquant disposant d’un accès authentifié et d’au moins des permissions de base de membre du site peut exploiter la faille pour exécuter du code à distance sur un serveur vulnérable.

L’inscription de cette vulnérabilité par la CISA signifie que les agences civiles fédérales américaines de l’exécutif doivent donner la priorité à sa correction. L’agence a fixé au 4 juillet 2026 la date limite pour appliquer le correctif. À ce stade, les autorités n’ont pas identifié publiquement les acteurs à l’origine de l’exploitation ni les objectifs des campagnes.

Ce que Microsoft a observé

Cette alerte fait suite à plusieurs communications distinctes de Microsoft concernant des activités malveillantes qui se chevauchent dans des environnements d’entreprise. Dans un cas, Microsoft a indiqué qu’une enquête sur un rançongiciel avait révélé la présence simultanée de deux groupes d’attaquants différents au sein du même réseau, utilisant des méthodes conçues pour maintenir leur accès et compliquer la détection.

Un des groupes a été associé à Storm-2603, un acteur lié au rançongiciel Warlock. Microsoft a déclaré que cette activité impliquait l’exploitation présumée d’une autre vulnérabilité, ainsi que des outils et services couramment utilisés pour la furtivité et la persistance, notamment Velociraptor, les tunnels Cloudflare, Zoho Assist et un accès SSH via Visual Studio Code. Les enquêteurs ont également observé des tentatives d’élévation de privilèges et d’affaiblissement des défenses des terminaux.

Un second groupe d’acteurs, sans lien avec le premier, a été découvert en train d’utiliser le chargement latéral de DLL et des portes dérobées personnalisées. Microsoft a ensuite déterminé que l’activité s’était propagée à une autre organisation, démontrant que l’opération de rançongiciel était plus vaste qu’on ne le pensait initialement.

Principaux enseignements pour les défenseurs

• Appliquez dès que possible les correctifs Microsoft pour SharePoint.
• Examinez les journaux d’authentification et l’activité d’accès à distance sur les serveurs SharePoint.
• Surveillez la création inattendue de comptes administrateur et la présence d’outils de tunneling suspects.
• Considérez que plusieurs signaux d’intrusion peuvent être liés tant que le contraire n’est pas établi.

Microsoft a déclaré que le chevauchement des techniques avait compliqué l’attribution et aidé les attaquants à rester plus longtemps implantés dans les environnements touchés.