Faille SharePoint : pourquoi corriger votre serveur ne suffit pas

Changer la serrure rassure. Mais si quelqu'un a fait un double des clés avant votre passage chez le serrurier, il rentrera ce soir. Sans effraction, sans bruit.

C'est la situation des serveurs SharePoint installés en entreprise depuis juillet 2025. Deux failles permettent d'entrer sans mot de passe et, une fois à l'intérieur, de copier les clés secrètes du serveur. Le correctif publié par Microsoft referme la porte. Il ne change pas les clés. Cet article explique qui est concerné, comment vérifier si une visite a déjà eu lieu, et les trois gestes qui remettent réellement votre serveur en sécurité.

Que s'est-il passé sur les serveurs SharePoint ?

SharePoint est le logiciel de Microsoft que beaucoup d'entreprises utilisent comme intranet ou comme serveur de documents partagés. Il existe en deux versions : celle hébergée par Microsoft (SharePoint Online, incluse dans Microsoft 365) et celle installée sur un serveur chez vous ou chez votre prestataire.

En juillet 2025, deux failles ont été révélées dans la version installée : CVE-2025-53770 et CVE-2025-53771. Combinées, elles permettent à un attaquant de prendre le contrôle du serveur à distance, sans compte, sans mot de passe. La première a reçu une note de gravité de 9,8 sur 10. Microsoft confirme une exploitation active : ce n'est pas un risque théorique, des attaques ont lieu en ce moment.

Les chiffres donnent la mesure. Les premières intrusions ont été observées le 18 juillet. Trois jours plus tard, la société de sécurité Eye Security recensait déjà plus de 400 serveurs compromis dans le monde, dont ceux d'administrations publiques. Microsoft attribue une partie des attaques à des groupes soutenus par un État, et l'un d'eux installe des rançongiciels : des logiciels qui chiffrent vos données et exigent une rançon.

Le détail qui change tout : une fois entrés, les attaquants ne se contentent pas de visiter. Ils copient les clés cryptographiques du serveur, celles qui lui servent à distinguer une demande légitime d'une demande forgée. Un double des clés, fabriqué sur place, emporté discrètement.

Votre entreprise est-elle concernée ?

Trois questions suffisent pour le savoir.

Utilisez-vous SharePoint hébergé par Microsoft ? Si vos documents sont dans Microsoft 365 (SharePoint Online, Teams, OneDrive), vous n'êtes pas concerné par ces deux failles. Microsoft gère ses propres serveurs et les a protégés.

Avez-vous un serveur SharePoint installé chez vous ou chez un prestataire ? Les versions touchées sont SharePoint Server 2016, 2019 et Subscription Edition. Si votre intranet ou votre gestion documentaire tourne sur l'une d'elles, vous êtes dans le périmètre.

Ce serveur est-il accessible depuis internet ? C'est le cas le plus exposé : les attaquants balayent le web en continu à la recherche de serveurs SharePoint joignables. Un serveur accessible uniquement depuis votre réseau interne reste vulnérable, mais la porte est moins visible depuis la rue.

Si vous ne savez pas répondre, la question mérite d'être posée à votre équipe informatique ou à votre prestataire. Aujourd'hui, pas à la rentrée.

Pourquoi installer le correctif ne suffit pas

C'est le point que beaucoup d'entreprises manquent, et c'est celui qui coûte cher.

Un serveur SharePoint possède des clés secrètes, appelées clés machine. Elles lui permettent de vérifier que les demandes qu'il reçoit viennent bien d'utilisateurs authentifiés. Or les attaquants qui exploitent ces failles copient précisément ces clés. Avec elles, ils peuvent fabriquer des demandes que le serveur acceptera comme légitimes, même une fois la faille corrigée.

Autrement dit : le correctif change la serrure, mais les clés copiées ouvrent toujours. Fermer à double tour ne protège de rien quand le double est dehors.

Un exemple concret, tiré des premiers jours de la crise. Un serveur est compromis le vendredi 18 juillet au soir. L'équipe informatique installe le correctif le lundi 21, en 30 minutes, et considère le sujet clos. Pendant les 60 heures d'intervalle, les attaquants ont copié les clés machine et déposé un petit fichier discret sur le serveur. Trois semaines plus tard, ils reviennent par la porte que le correctif était censé fermer, et cette fois ils chiffrent les données. Le correctif était nécessaire. Il n'était pas suffisant.

Comment savoir si quelqu'un est déjà entré

Les attaques ayant commencé avant la publication du correctif, tout serveur exposé doit être considéré comme potentiellement visité. Voici ce que votre équipe informatique peut vérifier, avec les termes exacts à lui transmettre.

Un fichier suspect. Les attaquants déposent souvent un fichier nommé spinstall0.aspx (ou une variante proche) dans les répertoires du serveur SharePoint. Sa présence est un signe quasi certain d'intrusion.

Des traces dans les journaux. Le serveur web enregistre toutes les demandes reçues. Des requêtes vers la page ToolPane.aspx provenant d'adresses inconnues, surtout depuis le 17 juillet, sont la signature de cette attaque.

Des comportements anormaux. Un processus du serveur web qui lance des commandes système, des connexions sortantes vers des adresses inhabituelles : autant d'indices qu'un visiteur s'est installé.

Si l'un de ces signes apparaît, il ne s'agit plus de prévention mais de réponse à incident : le serveur doit être isolé et analysé avant toute remise en service.

Les trois gestes qui remettent votre serveur en sécurité

1. Corriger. Installer les mises à jour de sécurité publiées par Microsoft en juillet 2025 pour votre version de SharePoint. C'est la serrure neuve.

2. Changer les clés. Renouveler les clés machine du serveur (l'opération est documentée par Microsoft), puis redémarrer le service web. C'est l'étape que l'exemple ci-dessus rendait indispensable, et c'est celle qu'on oublie : sans elle, le double des clés reste valable.

3. Vérifier. Rechercher les signes de visite listés plus haut, sur les trois dernières semaines de journaux au minimum. Si le serveur a été compromis, changer aussi les mots de passe des comptes qui s'y connectent : les clés ne sont peut-être pas la seule chose copiée.

Dans cet ordre, et les trois. Deux sur trois laissent la porte entrouverte.

Les questions à poser à votre équipe informatique

Vous n'avez pas besoin de comprendre le détail technique pour piloter le sujet. Cinq questions suffisent :

• Avons-nous un serveur SharePoint installé chez nous ou chez un prestataire, et quelle version ?
• Est-il accessible depuis internet ?
• Le correctif de juillet 2025 est-il installé, et à quelle date l'a-t-il été ?
• Les clés machine ont-elles été renouvelées après le correctif ?
• Avons-nous vérifié les journaux depuis le 17 juillet ?

Si les cinq réponses sont claires et positives, vous êtes bien entouré. Si la quatrième question surprend votre interlocuteur, cet article vient de servir à quelque chose.

Reprendre la main sur ses clés

Cette affaire dépasse SharePoint. Elle rappelle une règle simple : après une intrusion, corriger la faille ne suffit jamais. Il faut aussi révoquer ce que l'intrus a pu emporter : clés, mots de passe, jetons d'accès. La serrure et les clés, toujours les deux.

L'été est un bon moment pour poser ces questions à tête reposée, pendant que l'activité ralentit. Si vous voulez un regard extérieur sur votre serveur SharePoint, ou plus largement sur ce qu'un intrus pourrait emporter de chez vous, nous pouvons en parler : prenez rendez-vous, l'échange est sans engagement.

Avant de partir en vacances, tout le monde vérifie d'avoir bien fermé la porte. Les entreprises les mieux protégées sont celles qui se demandent aussi qui d'autre a la clé.