Deux Zero-Day Vulnérabilités pour Microsoft SharePoint

Ce qui se passe vraiment – et pourquoi même les grandes entreprises ont du mal à réagir :

De quoi s'agit-il exactement ?

Deux vulnérabilités critiques dans Microsoft SharePoint ont récemment été découvertes et suscitent une grande inquiétude. Il s'agit de failles dites « zero-day » – c’est-à-dire des failles de sécurité non corrigées au moment de leur découverte :

• CVE-2025-53770

• CVE-2025-53771

Ces failles permettent aux attaquants de contourner complètement l’authentification, donnant accès aux serveurs et à des données sensibles sans identifiants. C’est ce qui les rend particulièrement dangereuses.

Le cœur technique – expliqué simplement

Les deux vulnérabilités sont liées à la manière dont SharePoint gère les données de connexion :

• CVE-2025-53770 permet une exécution de code à distance (RCE).
  Concrètement : un attaquant peut envoyer des commandes à votre serveur SharePoint depuis l’extérieur – et celui-ci les exécute sans poser de question.

• CVE-2025-53771 est un contournement de fonction de sécurité.
  En clair : les défenses intégrées de SharePoint ne détectent pas l'intrusion – comme une alarme silencieuse qui ne se déclenche jamais.

Combinées, ces deux failles permettent à un attaquant de prendre le contrôle total du système affecté.

Comment ces failles sont-elles exploitées ?

Les attaquants ciblent l’interface de connexion de SharePoint. Ils envoient des requêtes modifiées qui font passer du code malveillant pour du trafic légitime. Le système ne reconnaît pas la menace.

Les pirates :

• Envoient une requête soigneusement forgée qui ressemble à une tentative de connexion normale
• Exploitent la faille qui trompe le serveur : « Tout va bien, exécute ce code ! »
• Accèdent à des données confidentielles ou acquièrent les droits administrateurs – sans avoir de mot de passe

Plus de 400 organisations dans le monde ont déjà été touchées – y compris des entités hautement sécurisées comme la NNSA (National Nuclear Security Administration) aux États-Unis, qui protège l’arsenal nucléaire américain.

Les cibles : Organismes gouvernementaux, centres de recherche, prestataires IT et autres institutions manipulant des informations sensibles ou stratégiques.

Quelles données ont été exposées – et quels sont les risques ?

Les attaquants ont exploité les serveurs SharePoint compromis pour extraire des informations critiques telles que :

• Documents confidentiels : contrats, stratégies, données propriétaires

• Contenu lié à la sécurité : protocoles de sûreté nucléaire, procédures internes

• Données personnelles du personnel : identifiants de connexion, informations sur les employés

L’ampleur complète des fuites reste en cours d’évaluation. Mais la nature des données volées laisse craindre des risques majeurs : espionnage industriel, atteintes à la sécurité nationale, etc.

Quel est le niveau de dégâts et les efforts nécessaires ?

De tels incidents peuvent engendrer des millions d’euros de pertes. Les coûts directs incluent une analyse forensique, la reconstruction de l’infrastructure et la réinitialisation des mécanismes d’authentification.

D’autres impacts souvent plus lourds :

• Perte de confiance des clients et partenaires

• Atteinte durable à l’image de marque

• Sanctions réglementaires liées à la protection des données

Pourquoi des organisations comme l’agence nucléaire américaine n’ont-elles pas pu empêcher cela ?

Les failles zero-day sont par nature inconnues avant leur exploitation – c’est ce qui les rend si dangereuses. Même les organisations les mieux protégées sont vulnérables car :

• On ne peut pas se défendre contre une menace inconnue

• Aucun correctif n’est disponible au moment de l’attaque

• Les attaquants réagissent très vite – parfois dans les heures suivant la découverte

Résultat : même des systèmes bien préparés peuvent être pris au dépourvu.

Comment vous protéger – et que font les organisations affectées ?

On ne peut pas toujours empêcher une attaque zero-day – mais on peut en limiter l’impact :

• Appliquer immédiatement les mises à jour de sécurité (Microsoft a publié des correctifs)

• Restreindre l’accès aux portails de connexion (uniquement aux IP de confiance)

• Activer l’authentification à deux facteurs (2FA) quand c’est possible

• Déconnecter les instances SharePoint vulnérables si un compromis est suspecté

Les organisations attaquées mettent en œuvre :

• Surveillance comportementale des systèmes compromis

• Isolement des infrastructures touchées

• Réinitialisation des identifiants et des jetons de sécurité

• Investigations forensiques pour évaluer l’étendue de la brèche

Pourquoi de telles vulnérabilités existent-elles ?

Les plateformes comme SharePoint reposent sur des millions de lignes de code. Avec une telle complexité, les erreurs sont inévitables – même chez un éditeur comme Microsoft. Des cas particuliers non testés peuvent générer des failles graves.

Les pirates le savent. Les failles zero-day sont une mine d’or : utilisées pour le vol, le chantage ou l’espionnage stratégique.

Pour aller plus loin – sources :

Microsoft Security Response Center (MSRC)
CISA Security Advisories
Tom’s Guide – Simple explanation of the vulnerabilities