La CISA alerte sur des attaques actives ciblant trois failles de SharePoint Server

L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a exhorté les organisations utilisant Microsoft SharePoint Server sur site à renforcer leurs défenses après avoir confirmé que trois vulnérabilités sont exploitées dans le cadre d’attaques.

L’avis concerne les déploiements pris en charge de SharePoint Server. La CISA a mis en avant CVE-2026-32201, une vulnérabilité d’usurpation notée 6,5 : CVE-2026-45659, une faille d’exécution de code à distance notée 8,8 : et CVE-2026-56164, une faille d’élévation de privilèges notée 5,3. Microsoft a divulgué la première vulnérabilité en mars, tandis que l’exploitation de la deuxième a été signalée en juin. La troisième a été incluse dans les mises à jour du Patch Tuesday de juillet.

L’agence a également identifié deux vulnérabilités critiques supplémentaires susceptibles d’accroître les risques pour les environnements SharePoint. CVE-2026-55040 affiche un score de gravité de 9,1, et CVE-2026-58644 est notée 9,8. Aucune des deux n’a été confirmée comme étant exploitée, mais Microsoft les a classées parmi les vulnérabilités les plus susceptibles d’être ciblées.

Activités post-compromission

Selon la CISA, les failles exploitées ont été associées à des activités menées après la compromission initiale. Les attaquants auraient cherché à dérober les clés machine d’Internet Information Services et à utiliser des techniques de désérialisation pour maintenir leur accès et installer des logiciels malveillants.

L’agence a renvoyé les défenseurs vers une précédente alerte concernant les attaques « ToolShell » contre SharePoint. Cette campagne reposait sur l’enchaînement de deux vulnérabilités antérieures, CVE-2025-49706 et CVE-2025-49704. La CISA a indiqué que ces attaques avaient, dans certains cas, abouti au déploiement du rançongiciel Warlock. L’agence n’a pas attribué les activités récentes à un groupe ou à un pays spécifique.

Mesures recommandées

La CISA a conseillé aux organisations d’appliquer les mises à jour de sécurité actuelles de Microsoft pour SharePoint et de vérifier que l’intégration de l’interface d’analyse antimalware est activée pour chaque application web SharePoint. Les équipes de défense doivent également rechercher d’éventuels signes de compromission avant de renouveler les clés machine IIS, car leur modification prématurée peut supprimer des informations utiles à l’enquête sur une intrusion.

• Limiter autant que possible l’exposition de SharePoint à Internet.
• Restreindre l’accès externe à l’administration centrale de SharePoint.
• Maintenir une journalisation adaptée permettant d’identifier les activités d’exploitation et post-compromission.
• Mener des opérations de chasse aux menaces dans les environnements concernés avant d’apporter des modifications liées à la récupération.