Vulnérabilités « zero-day » dans Microsoft SharePoint

Que se passe-t-il réellement ? Et pourquoi même les grandes entreprises ont-elles du mal à réagir ?

De quoi s’agit-il exactement ?

Deux vulnérabilités critiques dans Microsoft SharePoint ont récemment été découvertes et suscitent un vif intérêt. Il s’agit de ce qu’on appelle des « exploits zero-day », c’est-à-dire des failles de sécurité pour lesquelles aucun correctif n’est disponible au moment de leur découverte:

• CVE-2025-53770

• CVE-2025-53771

Elles permettent aux attaquants de contourner complètement l’authentification, leur donnant ainsi accès aux serveurs et aux données sensibles sans avoir besoin d’identifiants. C’est ce qui les rend si dangereuses.

Le cœur technique – expliqué simplement

Ces deux vulnérabilités sont liées à la manière dont SharePoint gère les données de connexion :

• CVE-2025-53770 ouvre la voie à l’exécution de code à distance.
  Concrètement : les attaquants peuvent envoyer des commandes à votre serveur SharePoint depuis l’extérieur – et le serveur les exécute sans poser de questions.

• CVE-2025-53771 correspond à un contournement des fonctionnalités de sécurité.
  En clair : les défenses intégrées de SharePoint ne détectent pas l’intrusion – à l’image d’une alarme silencieuse qui ne se déclenche jamais.

Utilisées conjointement, ces deux failles permettent aux attaquants de prendre le contrôle total du système affecté.

Comment ces vulnérabilités sont-elles exploitées ?

Les attaquants ciblent l’interface de connexion de SharePoint. Ils envoient des requêtes manipulées qui dissimulent du code malveillant sous l’apparence d’un trafic légitime. Le système ne détecte pas la menace.

Les pirates :

• Envoient une requête spécialement conçue qui ressemble à une tentative de connexion normale

• Exploitent la faille qui incite le serveur à penser : « Tout va bien, vas-y, exécute ce code ! »

• Accèdent à des données confidentielles ou obtiennent des droits d'administrateur – sans mot de passe

Qui a été ciblé – et pourquoi c’est important

Plus de 400 organisations à travers le monde ont déjà été touchées – y compris des entités hautement sécurisées comme la National Nuclear Security Administration (NNSA) américaine, chargée de la protection de l’arsenal nucléaire des États-Unis.

Les attaquants ont ciblé des organismes gouvernementaux, des centres de recherche, des prestataires informatiques et d’autres institutions traitant des informations hautement sensibles ou stratégiques.

Quelles données ont été exposées – et quels sont les risques ?

Les pirates ont utilisé les systèmes SharePoint compromis pour extraire des informations critiques, notamment :

• Des documents confidentiels : contrats, documents stratégiques, données commerciales exclusives

• Contenu lié à la sécurité : notamment des protocoles et procédures de sûreté nucléaire

• Données personnelles du personnel : identifiants de connexion et identités des employés

L'ampleur totale de l'incident est encore en cours d'évaluation. Mais la nature des données volées laisse entrevoir des risques graves, allant de l'espionnage industriel à des atteintes à la sécurité nationale.

Quelle est l’ampleur des dommages et de l’effort requis ?

De tels incidents entraînent souvent des dommages se chiffrant en millions. Les coûts directs comprennent l’analyse informatique légale, la reconstruction des infrastructures compromises et la mise en place de mécanismes d’authentification alternatifs. Des violations comparables ont coûté plusieurs millions d’euros aux entreprises concernées – sans compter :

• la perte de confiance des clients et des partenaires

• Atteinte à l’image de marque à long terme

• Les sanctions réglementaires prévues par les lois sur la protection des données

Pourquoi de grandes organisations telles que l’Agence nucléaire américaine n’ont-elles pas pu empêcher cela ?

Les failles «zero-day» restent inconnues jusqu’à ce qu’elles soient exploitées – c’est ce qui les rend si dangereuses. Même les organisations disposant de moyens financiers importants et soucieuses de la sécurité sont exposées, car :

• Il n’existe aucun moyen de se défendre contre quelque chose dont on ignore l’existence

• Aucun correctif n’est disponible à ce moment-là

• Les attaquants agissent rapidement – souvent dans les heures qui suivent la découverte

Résultat : même les systèmes les mieux préparés peuvent être pris au dépourvu.

Comment pouvez-vous vous protéger – et que font actuellement les organisations concernées ?

Les attaques « zero-day » ne peuvent pas toujours être évitées, mais leur impact peut être limité :

• Appliquez immédiatement les correctifs de sécurité (Microsoft a publié des mises à jour)

• Limitez l’accès aux portails de connexion : n’autorisez que les adresses IP et les réseaux de confiance

• Utilisez l’authentification multifactorielle (2FA) dans la mesure du possible

• Mettez hors ligne les instances SharePoint vulnérables si vous soupçonnez une compromission

Les organisations touchées par cette attaque réagissent en :

• Surveillant les comportements anormaux sur les systèmes affectés

• Isoler l’infrastructure compromise

• Réinitialiser l’ensemble des identifiants et des jetons de sécurité

• Enquêtant sur l’étendue de la violation à l’aide d’outils d’investigation

Pourquoi de telles vulnérabilités existent-elles ?

Les plateformes à grande échelle telles que SharePoint reposent sur des millions de lignes de code. Avec un tel niveau de complexité, les erreurs sont inévitables, même pour des éditeurs comme Microsoft. Des lacunes dans les tests ou des cas limites négligés peuvent entraîner de graves vulnérabilités.

Et les attaquants le savent bien. Les failles « zero-day » constituent une mine d’or pour les cybercriminels : elles sont utilisées à des fins de vol, de chantage ou d’espionnage stratégique.

Lectures complémentaires et sources :

Centre de réponse de sécurité de Microsoft (MSRC)
Avis de sécurité de la CISA
Tom’s Guide – Explication simple des vulnérabilités