Alerte KEV: CVE-2026-45659 de SharePoint menace les serveurs sur site et exige un stationnement immédiat

Agence américaine pour l'infrastructure et la cybersécurité. US (CISA) a récemment inclus dans son catalogue de vulnérabilités connues et exploitées (KEV) une défaillance de haute gravité affectant les serveurs de Microsoft SharePoint: c'est la défaillance enregistrée comme CVE-2026-45659, une vulnérabilité d'exécution de code à distance résultant de la désactivation de données peu fiables. Bien que Microsoft l'ait corrigé en mai 2026 pour SharePoint Server Subscription Edition, SharePoint Server 2019 et SharePoint Enterprise Server 2016, l'émergence d'indicateurs d'exploitation active a forcé les équipes de sécurité à accélérer leur réponse, et la date limite recommandée par la CISA pour les entités du gouvernement fédéral est d'appliquer les correctifs avant le 4 juillet 2026. De plus amples informations générales sur la liste de la KEV sont disponibles sur le site Web de la CISA: https: / / www.cisa.gov / knowledge-exploited-vulnerabilities-catalog.

D'un point de vue technique, la vulnérabilité permet à un attaquant authentifié avec les privilèges minimums des membres du site d'exécuter le code sur le serveur SharePoint sans identifiants administratifs. Cela rend les serveurs SharePoint sur site particulièrement attrayants parce que de nombreuses organisations conservent des organismes locaux qui intègrent des contenus et des flux de travail critiques automatisés et qui, par défaut, exposent des mécanismes d'authentification qui peuvent être cooptés par phishing, des lettres de créance filtrées ou l'exploitation en chaîne d'autres défaillances.

L'évaluation de Microsoft a décrit la probabilité d'exploitation comme étant « moins probable », mais l'inclusion dans le catalogue de la CISA par des preuves d'abus réels montre une tension commune entre les évaluations internes des risques et les observations sur le terrain. Cette différence concerne les agents de sécurité : s'il y a une indication d'exploitation, la prudence exige de donner la priorité à l'atténuation immédiate, indépendamment des étiquettes de probabilité.

Cette affaire s'inscrit dans un contexte plus large d'attaques complexes où, selon la recherche de Microsoft, des acteurs comme Storm-2603 ont exploité des serveurs sur site - y compris des vecteurs contre SharePoint - pour déployer l'ansomware et maintenir un accès prolongé. Les attaquants combinent des outils de gestion et de télémétrie légitimes (p. ex. Velociraptor), des tunnels à travers des services en nuage, et des canaux d'accès à distance tels que Zoho Assist ou SSH gérés par des IDE, ainsi que des techniques d'escalade de privilège et la manipulation des conducteurs pour échapper aux défenses. Microsoft documente ce type d'activité sur son blog de sécurité : https: / / www.microsoft.com / sécurité / blog /.

La leçon opérationnelle est claire : un incident apparemment unique (une attaque ransomware) peut cacher plusieurs acteurs et chaînes d'intrusion, qui complique le confinement et la médiation si seul le symptôme est traité. Les équipes d'intervention devraient envisager la possibilité d'une activité parallèle, rechercher des traces de mouvements latéraux et d'accès persistant et ne pas limiter l'enquête à l'échantillon initial de l'incident.

En termes pratiques et urgents, la recommandation pour les administrateurs est de prioriser l'application des correctifs publiés par Microsoft dans tous les environnements qui exécutent les éditions touchées de SharePoint. S'il n'est pas possible pour les limitations opérationnelles d'appliquer la mise à jour immédiatement, il convient de bloquer ou de restreindre l'accès aux interfaces et services de gestion SharePoint des réseaux publics, de renforcer les contrôles d'authentification multi-facteurs, d'examiner et de minimiser les autorisations des membres du site, et de segmenter le réseau afin que les serveurs critiques n'aient pas d'itinéraires d'accès direct depuis les postes de travail ou les sorties d'Internet.

Pour la détection et la réponse, les signes d'abus associés aux tactiques ci-dessus doivent être recherchés: création de comptes locaux ou de domaines inhabituels, installation d'outils de gestion à distance ou de tunnels, enregistrements montrant des requêtes atypiques aux fichiers de configuration (par exemple web.config ou win.ini) et modèles de la DLL type de roulement latéral ou d'exécution de binaires inattendus. Corréler les événements EDR, le proxy / proxy inverse et la télémétrie d'identité aide à distinguer l'activité légitime de la malicieuse; des détails techniques sur la vulnérabilité peuvent être trouvés dans la base NVD: https: / / nvd.nist.gov / vuln / detail / CVE-2026-45659.

À moyen et long terme, il convient de repenser l'exposition des services commerciaux critiques dans les locaux : maintenir des cycles de patch fréquents, renforcer le contrôle des comptes avec des privilèges, surveiller les connexions sortantes cryptées qui peuvent être des tunnels et valider l'intégrité des pilotes et logiciels tiers. De plus, l'établissement de processus d'intervention qui tiennent compte de scénarios comportant plusieurs adversaires simultanés réduit la probabilité de sous-estimer la portée d'une intrusion et facilite le confinement complet.

Si votre organisation détecte une activité suspecte ou des signes compatibles avec l'exploitation de cette vulnérabilité, il est sage d'activer votre plan d'intervention en cas d'incident, de prendre immédiatement des mesures de confinement et, le cas échéant, de demander l'appui d'une équipe d'intervention médico-légale spécialisée. Les références officielles de la CISA et de Microsoft, en plus des pages sur la vulnérabilité du public, sont des points de départ utiles pour tester et hiérarchiser: CISA KEV et des informations de Microsoft sur Sécurité de Microsoft.