Serveurs SharePoint attaqués: l’alerte sur des failles exploitées met les administrations sous pression

Des serveurs Microsoft SharePoint sont visés par des attaques qui exploitent des failles de sécurité, avec un risque direct pour les administrations et les entreprises. Les alertes d’agences de cybersécurité décrivent des intrusions rapides, capables d’ouvrir la voie à une prise de contrôle plus large du réseau interne. Résultat: l’enjeu dépasse le simple “site SharePoint”, et touche l’accès aux comptes, aux fichiers et aux services clés.

Dans les organisations, SharePoint sert souvent de colonne vertébrale pour les espaces projets, les bibliothèques de documents et certains workflows internes. Quand un serveur SharePoint est exposé à Internet, une vulnérabilité critique peut devenir une porte d’entrée. Le scénario est classique: une faille sur un service public, puis une progression vers des ressources plus sensibles, parfois sans bruit, parfois en quelques jours.

Les signaux d’alerte publiés ces dernières semaines convergent: plusieurs vulnérabilités touchant des installations locales (on-premise) de SharePoint sont observées dans des campagnes actives. Le sujet est d’autant plus sensible que les serveurs concernés se trouvent souvent au cœur de l’intranet, connectés à l’annuaire et à d’autres briques Microsoft.

Pourquoi SharePoint est une cible si rentable pour les attaquants

SharePoint n’est pas seulement un “outil de partage de fichiers”. Dans beaucoup d’environnements, il se connecte à Active Directory, s’appuie sur des services IIS et peut interagir avec d’autres composants Microsoft. Quand un attaquant prend pied sur un serveur SharePoint, il peut chercher à récupérer des informations, augmenter ses privilèges, puis rebondir vers d’autres machines.

Le Centre canadien pour la cybersécurité décrit une chaîne d’attaque typique: un acteur externe exploite un serveur SharePoint en zone démilitarisée, collecte de l’information et procède à une élévation de privilèges, puis mène une découverte de comptes via le contrôleur de domaine avant de se déplacer latéralement vers un serveur IIS. Le document souligne aussi qu’après une première compromission, l’attaquant peut infiltrer un autre serveur web exposé à Internet et établir un accès permanent de secours, puis rester inactif pendant un certain temps. ^[2]

Dans le quotidien d’une organisation, ce type de progression change tout: une attaque qui semblait “cantonnée” à un serveur web peut finir par toucher des comptes, des partages réseau, des applications internes, voire des outils d’administration. Résultat: le périmètre à surveiller n’est pas seulement SharePoint, mais les connexions et dépendances autour.

Failles exploitées, ToolShell: ce que disent les agences de cybersécurité

L’alerte ne vient pas d’un seul acteur. L’agence américaine de cybersécurité CISA a renforcé son avertissement sur des attaques visant des serveurs Microsoft SharePoint, en évoquant des failles activement exploitées. ^[1] L’intérêt de ce type d’alerte est pratique: elle signale que l’exploitation n’est pas théorique, et que des attaquants s’en servent déjà.

Le Centre canadien pour la cybersécurité indique participer au suivi de campagnes exploitant des vulnérabilités critiques récemment divulguées sur des serveurs locaux SharePoint, en citant les identifiants CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 et CVE-2025-53771. Il relie ces campagnes à une chaîne d’exploit appelée ToolShell. ^[2]

Ce vocabulaire peut sembler technique, mais l’idée est simple: des failles distinctes peuvent être enchaînées pour passer d’un accès initial à des actions plus profondes (exécution de code, vol d’identifiants, rebond interne). Dans la vraie vie, cela se traduit par des incidents où l’on découvre trop tard que l’attaquant ne s’est pas contenté de consulter des pages, mais a pu préparer la suite.

Quels serveurs sont concernés: SharePoint 2016, 2019 et Subscription Edition

Les alertes mentionnent explicitement des versions de SharePoint utilisées en production dans des organisations qui hébergent elles-mêmes leur service. Un article spécialisé rapporte que Microsoft a prévenu que SharePoint 2016, SharePoint 2019 et la Subscription Edition sont vulnérables. ^[4]

Point important pour le terrain: ce type d’attaque touche surtout les serveurs exposés, ceux qui doivent être accessibles depuis l’extérieur (télétravail, partenaires, prestataires). Dans une administration ou une grande entreprise, il n’est pas rare que SharePoint serve à des échanges interservices ou à la publication de documents. Résultat: l’exposition Internet, utile au quotidien, devient un facteur de risque si le serveur n’est pas corrigé ou si des mesures compensatoires ne sont pas en place.

Pour les équipes IT, l’enjeu n’est pas seulement de “mettre à jour”. Il faut aussi vérifier si des signes de compromission existent déjà, car les alertes portent sur des exploitations en cours. Dans un incident, l’ordre des opérations compte: contenir, analyser, corriger, puis surveiller.

Groupes de pirates, administrations: pourquoi l’impact peut dépasser l’IT

Les campagnes autour de SharePoint intéressent des acteurs très différents, y compris des groupes décrits comme liés à la Chine dans certaines couvertures de presse. Une source indique que plusieurs groupes de pirates chinois ont exploité une faille de sécurité du logiciel de gestion de serveurs SharePoint de Microsoft. ^[3]

Pour une administration, l’impact potentiel ne se limite pas à une indisponibilité. Une compromission peut toucher des documents internes, des répertoires partagés, des annuaires d’utilisateurs ou des applications connectées. Pour une entreprise, cela peut affecter des dossiers clients, des projets, des contrats ou des données RH, selon l’usage réel de SharePoint.

Au quotidien, cela se traduit souvent par des décisions concrètes: couper temporairement un accès externe, imposer une réinitialisation de mots de passe, durcir l’authentification, et mobiliser des prestataires de réponse à incident. C’est aussi une question de communication interne: expliquer pourquoi certains services sont ralentis ou inaccessibles, et donner des consignes simples (attention aux demandes inhabituelles, prudence sur les partages, signalement rapide).

Mesures de protection: correctifs, surveillance et réflexes opérationnels

Plusieurs articles grand public et spécialisés présentent ces failles comme une menace directe pour les organisations et appellent à vérifier les mesures de protection. ^[5] Dans un contexte d’exploitation active, la logique opérationnelle reste la même: réduire la surface d’attaque, corriger dès que possible, et chercher les traces d’intrusion.

Concrètement, les actions se jouent sur trois plans. D’abord, hygiène de patching: appliquer les mises à jour de sécurité disponibles, en priorisant les serveurs exposés. Ensuite, surveillance: renforcer la collecte de journaux, surveiller les comportements anormaux (comptes qui se connectent à des heures inhabituelles, création de nouveaux comptes, accès massifs à des bibliothèques de documents). Enfin, segmentation et limitation des privilèges: si un serveur web est compromis, l’attaquant ne doit pas pouvoir rebondir facilement vers le contrôleur de domaine ou des serveurs applicatifs.

Le schéma décrit par le Centre canadien pour la cybersécurité rappelle un point clé: une attaque réussie peut combiner élévation de privilèges, découverte de comptes et mouvement latéral, puis installer un accès de secours. ^[2] Résultat: même après l’application d’un correctif, la question de la persistance reste centrale, avec des vérifications post-correction.

recap: l’essentiel à retenir

Les agences de cybersécurité décrivent des attaques actives visant SharePoint, avec des scénarios d’intrusion qui peuvent mener à une progression dans le réseau interne. Les versions on-premise citées dans les alertes doivent être traitées comme prioritaires quand elles sont exposées à Internet.

enjeux: ce que cela change pour les organisations

Au-delà de l’outil collaboratif, SharePoint peut devenir un point d’entrée vers des ressources sensibles. La réponse ne se limite pas aux correctifs: elle implique aussi détection, investigation et durcissement des accès, car le risque porte sur les comptes et les serveurs connectés.

FAQ: questions pratiques sur les attaques SharePoint

Une attaque SharePoint concerne-t-elle seulement les documents?
Non. Les alertes décrivent des enchaînements qui peuvent mener à l’élévation de privilèges et au mouvement latéral vers d’autres serveurs, dont des serveurs IIS et des composants liés à l’annuaire. ^[2]

Les environnements cloud sont-ils concernés de la même façon?
Les sources citées ici décrivent surtout des serveurs SharePoint “locaux” (on-premise) et des versions installées et administrées par l’organisation. ^[2][4]

Quels sont les signaux qui doivent alerter?
Les schémas d’attaque mentionnent collecte d’information, élévation de privilèges, découverte de comptes et mouvement latéral. Tout comportement anormal sur les comptes et les serveurs web connectés à SharePoint doit déclencher une investigation. ^[2]

Corriger suffit-il à régler le problème?
Une exploitation active peut viser à établir un accès de secours et à rester discrète. Les mesures doivent inclure la recherche de traces de compromission et la surveillance après correction. ^[2]

Quelles versions sont mentionnées comme vulnérables?
Des alertes rapportent des vulnérabilités sur SharePoint 2016, SharePoint 2019 et la Subscription Edition. ^[4]