CISA confirme que des pirates ont exploité une faille SharePoint avant que Microsoft n'ait de correctif prêt

Le "Patch Tuesday" de juillet 2026 de Microsoft a discrètement inclus un correctif pour l'une des vulnérabilités SharePoint les plus sérieuses divulguées cette année – et il s'avère que les attaquants l'utilisaient déjà avant que le correctif n'existe. L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a confirmé le 16 juillet que CVE-2026-58644 avait été exploitée dans la nature en tant que zero-day, l'ajoutant à son catalogue de vulnérabilités exploitées connues et donnant aux agences fédérales jusqu'au 19 juillet pour appliquer le correctif.

Ce que la faille fait réellement

CVE-2026-58644 est une vulnérabilité de désérialisation de données non fiables portant un score CVSS de 9,8 sur 10 – proche de la sévérité maximale qu'une vulnérabilité peut recevoir. Dans la pratique, elle permet à un attaquant qui possède déjà des privilèges Site Owner sur un site SharePoint d'écrire et d'exécuter du code arbitraire à distance sur le serveur sous-jacent. Les privilèges Site Owner sont courants dans les déploiements SharePoint en entreprise – ils sont régulièrement accordés aux chefs d'équipe et aux responsables de département qui gèrent leurs propres bibliothèques de documents, pas seulement aux administrateurs informatiques – ce qui élargit le bassin pratique de comptes qu'un attaquant pourrait compromettre comme tremplin.

La vulnérabilité affecte toutes les éditions sur site prises en charge de SharePoint Server : Subscription Edition, 2019 et 2016. Notons qu'il s'agit d'un problème sur site – SharePoint Online, la version hébergée dans le cloud de Microsoft, n'est pas concernée car Microsoft gère les correctifs directement sur cette plateforme.

Ce que les attaquants en ont fait

Une fois à l'intérieur, les attaquants ont utilisé la faille pour une forme spécifique et dangereuse de persistance : voler les clés machine d'Internet Information Services (IIS). Ces clés sont ce que les serveurs IIS utilisent pour valider et chiffrer les données de session – avec une clé machine volée, un attaquant peut forger des jetons d'authentification qui survivent aux réinitialisations de mot de passe et même à la correction de la vulnérabilité d'origine, à moins que les clés elles-mêmes ne soient changées. C'est précisément le genre de technique post-exploitation qui transforme une seule vulnérabilité en un point d'appui à long terme.

Le problème de timing du zero-day

Microsoft a livré le correctif pour CVE-2026-58644 le 14 juillet, dans le cadre de son cycle régulier de "Patch Tuesday". La confirmation par la CISA que la faille était déjà exploitée avant cette date de publication signifie que cela tombe dans la catégorie zero-day – les attaquants disposaient d'exploits fonctionnels avant que les défenseurs n'aient un correctif à appliquer. C'est une situation matériellement pire qu'une vulnérabilité divulguée et corrigée simultanément, car les organisations n'avaient aucune fenêtre de préparation avant le début de l'exploitation.

Ce que la CISA demande aux organisations de faire

Au-delà de l'application simple du correctif du 14 juillet, les recommandations de la CISA pour les organisations concernées incluent l'activation de l'intégration d'Antimalware Scan Interface (AMSI) de Microsoft pour SharePoint, l'analyse active des environnements pour détecter des artefacts d'intrusion conformes à cette campagne, la mise en place d'une journalisation renforcée pour capturer les activités ultérieures, et – de manière critique – éviter l'exposition directe à Internet des serveurs SharePoint sur site lorsque cela est possible. Les organisations qui ont été compromises avant le correctif devraient également changer leurs clés machine IIS, car corriger la vulnérabilité seule n'invalide pas les clés déjà volées.

Pourquoi cela continue d'arriver à SharePoint

Ce n'est pas la première fois que SharePoint sur site est ciblé cette année – la CISA a émis un avis de durcissement connexe pour la plateforme à la mi-juillet après une vague distincte de tentatives d'exploitation. SharePoint sur site reste une cible de grande valeur précisément parce qu'il se trouve au centre de la gestion documentaire d'entreprise et détient souvent un accès interne large, faisant d'une instance compromise unique une rampe de lancement vers le reste du réseau d'entreprise.

Ce que les organisations devraient faire maintenant

Si votre organisation exécute SharePoint Server sur site (Subscription Edition, 2019 ou 2016), vérifiez que le correctif du 14 juillet est appliqué immédiatement – la date limite fédérale du 19 juillet est un repère raisonnable même pour les organisations hors gouvernement. Activez l'intégration AMSI si elle ne l'est pas déjà, auditez les comptes de niveau Site Owner pour détecter des signes de compromission et changez les clés machine IIS s'il y a une indication d'exploitation antérieure au correctif. Si votre déploiement SharePoint n'a pas strictement besoin d'une exposition directe à Internet, c'est un bon moment pour le placer derrière un VPN ou une limite de réseau interne à la place.