SharePoint sur vos serveurs : deux failles critiques exploitées, que faire

Le 28 juillet, Cybermalveillance.gouv.fr et l'ANSSI ont déclenché une AlerteCyber, le dispositif réservé aux menaces jugées critiques pour les entreprises et les collectivités de toute taille. Elle porte sur deux failles de Microsoft SharePoint, déjà exploitées par des attaquants. Si votre entreprise a un serveur SharePoint installé dans ses locaux ou chez un hébergeur, ce n'est pas un sujet pour la rentrée : c'est un sujet pour cette semaine.

Ce qui s'est passé

Le 14 juillet, lors de sa mise à jour mensuelle de sécurité, Microsoft a corrigé plusieurs failles dans SharePoint Server. La plus grave, référencée CVE-2026-58644, est notée 9,8 sur 10. Elle permet à un attaquant, sans aucun identifiant, d'exécuter le code de son choix sur le serveur. Microsoft a confirmé qu'elle était exploitée. L'agence américaine de cybersécurité, la CISA, l'a ajoutée le 16 juillet à son catalogue des failles activement exploitées, puis a fait de même le 22 juillet pour une faille voisine, CVE-2026-50522, corrigée le même jour.

Les versions concernées, selon l'analyse publiée par l'éditeur de sécurité Rapid7, sont celles qu'on installe sur ses propres serveurs :

• SharePoint Enterprise Server 2016 ;
• SharePoint Server 2019 ;
• SharePoint Server Subscription Edition.

L'AlerteCyber du 28 juillet résume le risque sans détour : prise de contrôle à distance des équipements, puis espionnage, vol, voire destruction d'informations confidentielles.

Pourquoi les PME sont concernées

On associe souvent SharePoint aux grands groupes. En réalité, beaucoup de PME en ont un : installé il y a quelques années par un prestataire pour partager des documents, gérer un intranet ou des procédures qualité, puis laissé tel quel. Ce sont précisément ces serveurs-là qui posent problème :

• Personne ne sait qu'ils existent. Le prestataire a changé, la personne qui l'a commandé est partie, le serveur tourne toujours.
• Ils sont accessibles depuis Internet pour que les commerciaux ou les sites distants y accèdent. Une faille sans authentification sur un serveur exposé, c'est une porte ouverte.
• Les mises à jour ne sont pas automatiques. Sur un serveur installé chez soi, quelqu'un doit les appliquer et vérifier qu'elles ont pris.

Le serveur SharePoint d'une PME contient en général ce qu'elle a de plus sensible : contrats, devis, fichiers clients, procédures internes. Et un attaquant qui le contrôle peut s'en servir comme point d'appui pour aller plus loin dans le réseau.

Ce qu'il faut faire cette semaine

1. Vérifiez si vous avez un SharePoint « sur site ». Posez la question à votre informaticien ou à votre prestataire. Ne confondez pas avec SharePoint Online, inclus dans Microsoft 365 et géré par Microsoft : les alertes et les versions listées visent les serveurs que vous administrez vous-même.
2. Appliquez les mises à jour de sécurité du 14 juillet sur chaque serveur SharePoint, puis vérifiez qu'elles sont bien installées. Une mise à jour lancée n'est pas une mise à jour réussie.
3. Activez l'analyse antimalware intégrée. Rapid7 recommande de vérifier que l'interface AMSI de Windows est active pour chaque application SharePoint, et de surveiller les détections de Microsoft Defender liées à ces failles.
4. Cherchez des traces. Les failles ont été exploitées avant le correctif. Si vous trouvez des signes d'intrusion, il faut traiter l'incident, pas seulement mettre à jour. Le CERT-FR de l'ANSSI peut être contacté ; Cybermalveillance.gouv.fr oriente aussi vers des prestataires labellisés ExpertCyber.
5. Demandez-vous si le serveur doit rester exposé. Un accès par VPN plutôt qu'en direct sur Internet réduit fortement la surface d'attaque.

Et si vous êtes passé à Microsoft 365 ?

Beaucoup d'entreprises ont migré leurs documents vers SharePoint Online, dans Microsoft 365, ces dernières années. C'est une bonne chose pour les mises à jour, que Microsoft gère alors lui-même. Mais une migration laisse souvent un ancien serveur allumé « au cas où », avec les vieux documents. Un serveur oublié n'est pas un serveur éteint : s'il est encore joignable, il faut le mettre à jour, ou mieux, l'archiver proprement et l'arrêter. Posez la question explicitement à la personne qui a mené la migration.

La vraie leçon : savoir qui maintient quoi

Cette alerte n'est pas la première et ne sera pas la dernière. Le problème de fond, dans la plupart des PME, n'est pas technique : c'est que personne n'est clairement responsable des mises à jour d'un serveur donné. Nous conseillons de tenir une liste simple : chaque logiciel installé sur un serveur, qui le met à jour, à quelle fréquence, et comment on vérifie.

Pour les logiciels que nous livrons, cette question est réglée dans le contrat : maintenance avec réponse sous 24 heures ouvrées, mises à jour de sécurité suivies, hébergement en France ou chez vous. Les conditions sont détaillées sur notre page Tarifs, et notre façon de construire et maintenir un logiciel métier sur la page Logiciel. Si vous héritez d'un serveur dont personne ne sait plus rien, parlons-en 30 minutes : on vous aide à y voir clair.

Sources

• Cybermalveillance.gouv.fr lance une AlerteCyber concernant deux failles de sécurité critiques dans Microsoft SharePoint, communiqué, 28 juillet 2026
• CVE-2026-58644: Microsoft SharePoint Server Unauthenticated Remote Code Execution Vulnerability Exploited in the Wild, Rapid7, 17 juillet 2026 (mis à jour le 23 juillet)