- 06/08/2026
SharePoint : trois failles critiques en trois semaines
- Par Maéva MARMIN
- 10 min
- ACTUALITE & TENDANCES
Le 14 juillet 2026, Microsoft corrige une faille SharePoint Server déjà exploitée. Deux jours plus tard, la CISA ajoute une deuxième faille à son catalogue des vulnérabilités activement exploitées. Elle est notée 9,8 sur 10, et le délai fédéral de remédiation tombe à trois jours seulement. Puis, quelques jours plus tard encore, une troisième faille refait surface sur le même produit. Des chercheurs la qualifient d'impact "de classe ToolShell", en référence à la campagne qui avait touché plus de 400 serveurs dans le monde en 2025. Trois failles critiques, un seul produit, un peu plus de deux semaines.
Désérialisation : une faille où un serveur reconstruit un objet à partir de données envoyées par un attaquant, sans vérifier ce que ces données sont autorisées à créer. | RCE : Remote Code Execution, l'exécution de code arbitraire à distance sur un système, souvent la faille la plus critique qui soit. | CVSS : l'échelle de 0 à 10 qui mesure la sévérité d'une vulnérabilité. | Catalogue KEV : la liste des vulnérabilités activement exploitées tenue par la CISA, l'agence américaine de cybersécurité. | On-premises : une installation hébergée par l'entreprise elle-même, par opposition à un service cloud géré par l'éditeur.
Chronologie des trois failles
Ce n'est pas une seule faille corrigée en urgence, mais trois vulnérabilités distinctes sur le même produit, révélées à quelques jours d'intervalle.
Élévation de privilèges à distance, sans authentification requise. Microsoft crédite Mandiant et l'équipe FLARE de Google pour sa découverte.
Désérialisation de données non fiables. Un attaquant authentifié au minimum comme "propriétaire de site" peut exécuter du code arbitraire à distance.
Également une faille de désérialisation, permettant une exécution de code à distance sans authentification préalable sur un système vulnérable.
SharePoint Server 2016 et 2019 ont, de surcroît, atteint la fin de leur support étendu le 14 juillet 2026, le jour même de la première divulgation. Sans programme payant de mises à jour de sécurité étendues, les organisations qui utilisent encore ces versions n'ont plus aucun filet de sécurité officiel (Technobezz).
Pourquoi SharePoint reste une cible de choix
SharePoint Server n'est jamais un système isolé. Il s'intègre à Active Directory, aux référentiels de fichiers, aux applications métier et aux services de collaboration exposés à l'extérieur. Résultat, compromettre un serveur SharePoint ouvre souvent un point d'entrée bien plus large que le seul outil documentaire.
« Une faille SharePoint n'est presque jamais un problème SharePoint. C'est un problème Active Directory qui n'a pas encore de nom. »
Le précédent ToolShell : ce qui s'est passé en 2025
En juillet 2025, la chaîne d'exploitation ToolShell combine plusieurs failles de désérialisation et de contournement d'authentification sur SharePoint Server. Des chercheurs indépendants recensent alors plus de 400 serveurs compromis en quelques jours. Des groupes liés à la Chine mènent une partie de ces attaques, et touchent au passage des agences gouvernementales et des infrastructures critiques (Eye Security).
Ce qu'il faut vérifier sans attendre
- Confirmer que les trois correctifs (CVE-56164, 58644, 50522) sont bien installés sur chaque instance SharePoint on-premises.
- Identifier si un serveur est directement exposé sur internet, avec ou sans reverse proxy devant.
- Faire tourner les clés machine IIS ("machine keys"), même sans signe visible de compromission.
- Activer AMSI, avec l'analyse complète du corps des requêtes, en mitigation temporaire si le correctif attend encore.
- Vérifier les journaux IIS et SharePoint depuis la mi-juillet, à la recherche de web shells ou de comportements anormaux.
Ce que ça change pour la gestion des correctifs
Trois failles critiques sur le même produit en un mois, ce n'est pas un hasard statistique. C'est plutôt le signe d'un effet loupe bien connu : un produit qui fait l'actualité attire davantage de chercheurs, offensifs comme défensifs. Chaque nouvelle divulgation pousse d'ailleurs d'autres équipes à creuser le même code. Pour les équipes IT, cela change la donne : un correctif installé une fois ne suffit plus. Un produit qui vient de faire l'actualité mérite une surveillance renforcée dans les semaines qui suivent, pas seulement un ticket fermé.
FAQ – Questions fréquentes
Ces failles concernent-elles SharePoint Online (Microsoft 365) ?
Non, uniquement les installations on-premises.
SharePoint Server 2016, 2019 et Subscription Edition sont concernés. SharePoint Online, géré directement par Microsoft dans le cloud, n'apparaît pas dans la liste des versions affectées.
CVE-2026-50522 est-elle liée à ToolShell techniquement ?
C'est un mécanisme similaire, pas la même chaîne d'exploitation.
Les chercheurs parlent d'un impact "de classe ToolShell" en raison du vol possible de clés machine, mais il s'agit bien d'une vulnérabilité distincte, avec son propre identifiant CVE.
Que faire si mon serveur SharePoint 2016 ou 2019 n'a plus de support étendu ?
Le correctif s'applique quand même, mais la fenêtre de protection future se referme.
Sans programme payant de mises à jour de sécurité étendues, ces versions ne recevront plus de correctif pour une prochaine faille. Une migration vers une version supportée devient une priorité, pas une option à plus tard.
Appliquer le correctif suffit-il à se protéger complètement ?
Pas si le serveur a déjà été compromis avant le correctif.
Si des clés machine ont été volées avant l'application du patch, un attaquant peut conserver un accès malgré la mise à jour. La rotation des clés et une recherche de compromission restent nécessaires en complément.
Trois failles critiques sur SharePoint en un mois :
votre parc est-il vraiment à jour ?
CVE-2026-56164, 58644, 50522 : des correctifs sortis en urgence, des délais de remédiation de quelques jours, et un risque de compromission persistante même après application du patch. Sæpiens vous accompagne dans l'audit de vos serveurs SharePoint on-premises, la vérification de compromission, la rotation des clés machine et la mise en place d'un processus de patch management structuré pour ne plus subir la prochaine alerte critique.
Vos serveurs SharePoint exposés sont-ils réellement protégés aujourd'hui ?
FAIRE AUDITER MON SI
