La Cybersecurity and Infrastructure Security Agency (CISA) américaine a confirmé ce 11 août 2026 que la vulnérabilité de gravité élevée CVE-2026-45659 affectant Microsoft SharePoint est désormais exploitée par des groupes ransomware. Cette mise à jour du catalogue Known Exploited Vulnerabilities (KEV) marque une escalation significative : la faille, dont l'exploitation active avait été signalée dès le 1er juillet, passe du statut « Unknown » à « Known » en ce qui concerne son utilisation dans des campagnes de rançongiciels.

Une vulnérabilité de désérialisation facile à exploiter

La vulnérabilité CVE-2026-45659 résulte d'une faille de désérialisation de données non fiables (CWE-502) dans Microsoft Office SharePoint Server. Selon les données du NVD, elle porte un score CVSS 3.1 de 8,8 (HIGH) avec le vecteur AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

Concrètement, n'importe quel attaquant authentifié disposant au minimum des permissions « Site Member » peut exécuter du code à distance sur un serveur SharePoint non corrigé. Microsoft souligne que la complexité de l'attaque est faible : l'attaquant n'a pas besoin de connaissances approfondies du système et peut obtenir un succès reproductible avec sa charge utile.

Les versions affectées sont :

  • SharePoint Enterprise Server 2016 (versions antérieures à 16.0.5552.1002)
  • SharePoint Server 2019 (versions antérieures à 16.0.10417.20128)
  • SharePoint Server Subscription Edition (versions antérieures à 16.0.19725.20280)

Microsoft avait publié les correctifs le 21 mai 2026, bien que le CVE ait été accidentellement omis des mises à jour de sécurité de mai dans un premier temps.

Chronologie d'une escalade

L'évolution de cette vulnérabilité vers le ransomware s'inscrit dans une chronologie précise :

  • 21 mai 2026 : Microsoft publie les correctifs pour CVE-2026-45659.
  • 22 mai 2026 : Le NVD publie officiellement la fiche CVE.
  • 1er juillet 2026 : La CISA ajoute la faille à son catalogue KEV, ordonnant aux agences fédérales (FCEB) de sécuriser leurs serveurs en trois jours (échéance au 4 juillet), conformément au Binding Operational Directive (BOD) 26-04. À ce stade, l'utilisation dans des campagnes ransomware est marquée « Unknown ».
  • 2 juillet 2026 : BleepingComputer rapporte l'exploitation active ; Shadowserver dénombre plus de 10 000 serveurs SharePoint exposés sur Internet.
  • 14 juillet 2026 : Une troisième vulnérabilité SharePoint (CVE-2026-56164) est ajoutée au KEV.
  • 15 juillet 2026 : La CISA publie une alerte couvrant trois vulnérabilités SharePoint activement exploitées — CVE-2026-32201, CVE-2026-45659 et CVE-2026-56164 — décrrivant des activités de post-exploitation incluant le vol de clés machine IIS et l'établissement de persistance pour déployer des malwares. Shadowserver recense alors près de 10 000 serveurs exposés, dont plus de 800 non corrigés contre CVE-2026-32201 et CVE-2026-45659.
  • 11 août 2026 : La CISA met à jour le KEV pour signaler que CVE-2026-45659 est désormais exploitée dans des campagnes ransomware. Shadowserver indique que plus de 8 500 serveurs SharePoint restent exposés, dont plus de 200 toujours non corrigés contre cette vulnérabilité.

Il est notable que Microsoft n'a pas encore mis à jour son advisory pour tagger CVE-2026-45659 comme exploitée dans la nature, à l'image de ce qui s'était produit avec la faille Defender « BlueHammer » (CVE-2026-33825).

SharePoint : une cible de choix pour les ransomware

Cette confirmation s'inscrit dans un tendance de fond. Depuis novembre 2021, la CISA a recensé 14 vulnérabilités SharePoint activement exploitées, dont 8 ont fini par être utilisées dans des attaques par ransomware. Le 15 juillet, ce chiffre était de 11 dont 7 — la situation s'est donc aggravée en l'espace d'un mois.

Par ailleurs, le 22 juillet 2026, une cinquième vulnérabilité SharePoint (CVE-2026-50522, également de type désérialisation) a été ajoutée au KEV, bien qu'elle ne soit pas encore associée à des campagnes ransomware à ce jour. Microsoft a également signalé deux autres failles (CVE-2026-55040 et CVE-2026-58644) corrigées le 15 juillet comme des cibles attractives pour les attaquants.

Contexte : la faille BlueHammer (CVE-2026-33825)

En juin 2026, la CISA avait également confirmé l'exploitation par ransomware de la vulnérabilité CVE-2026-33825, surnommée « BlueHammer », une faille d'élévation de privilèges dans Microsoft Defender (CVSS 7,8, CWE-1220). Cette vulnérabilité, qui permettait d'accéder à la base SAM (Security Account Manager) contenant les hashes de mots de passe des comptes locaux, avait été fuitée début avril 2026 par un chercheur connu sous le pseudonyme de « Nightmare Eclipse », accompagnée d'un code de preuve de concept. Là encore, Microsoft n'a pas confirmé l'exploitation dans la nature malgré l'alerte de la CISA.

Recommandations de la CISA

Dans ses advisories successifs, la CISA a détaillé plusieurs mesures de mitigation et de détection :

Correction :

  • Appliquer immédiatement les derniers correctifs de Microsoft et vérifier leur installation réussie
  • Raccourcir les cycles de correction

Détection et remédiation :

  • Surveiller les serveurs affectés pour détecter des signes d'exploitation
  • Activer l'intégration Windows Antimalware Scan Interface (AMSI) pour les applications web SharePoint
  • Utiliser les détections Microsoft Defender Antivirus (MDAV) pour détecter et remédier les compromissions
  • Rechercher et remédier les artefacts d'intrusion avant de faire tourner les clés machine IIS
  • Établir des journaux adaptés pour surveiller les activités anormales

Durcissement :

  • Éviter l'exposition directe des serveurs SharePoint à Internet, sauf nécessité
  • Bloquer l'accès externe à SharePoint Central Administration
  • Restreindre la communication entre la ferme et les bases de données aux systèmes requis
  • Placer les serveurs derrière un reverse proxy de couche 7 ou un contrôle de sécurité au niveau applicatif lorsque l'exposition est nécessaire
  • Consulter le guide de durcissement officiel de SharePoint Server de Microsoft

Le cadre BOD 26-04

L'urgence imposée par la CISA s'appuie sur le Binding Operational Directive 26-04, qui exige des agences fédérales qu'elles priorisent les correctifs en fonction de quatre critères : l'inclusion dans le catalogue KEV, la possibilité d'automatiser l'exploitation à grande échelle, l'exposition publique de l'actif, et le niveau de contrôle accordé à l'attaquant en cas de succès. Les agences qui ne peuvent pas appliquer les mitigations doivent interrompre l'utilisation du produit.

Ce cadre a permis des délais de correction extrêmement courts — trois jours pour CVE-2026-45659 — illustrant l'importance accordée par la CISA aux serveurs SharePoint exposés comme vecteur d'attaque.

Une vigilance toujours nécessaire

Avec plus de 200 serveurs SharePoint toujours non corrigés contre CVE-2026-45659 et exposés à Internet, la fenêtre d'opportunité pour les groupes ransomware reste ouverte. La confirmation de la CISA que cette faille est désormais utilisée dans des campagnes de rançongiciels souligne l'urgence pour les organisations de vérifier l'exposition de leurs serveurs SharePoint et d'appliquer les correctifs sans délai. Le passage du statut « exploitation active » à « exploitation ransomware » suit une trajectoire désormais bien établie pour les vulnérabilités SharePoint, comme en témoignent les 8 cas recensés depuis 2021.