Deux administrateurs, un correctif, un mois de juillet très différent
Imaginez deux entreprises qui exploitent le même serveur SharePoint sur site. La première a appliqué la mise à jour de sécurité Microsoft de mai 2026 dans la semaine de sa sortie. La seconde l'a classée comme une routine et est passée à autre chose, rassurée par la note de Microsoft elle-même indiquant que l'exploitation était moins probable. Le 1er juillet, l'agence américaine de cybersécurité et de sécurité des infrastructures a ajouté cette même faille, CVE-2026-45659, à son catalogue des vulnérabilités exploitées connues, en citant des preuves d'attaques actives dans la nature. Le premier administrateur était déjà à l'abri. Le second a maintenant un problème urgent, assorti d'une échéance publique.
La CISA a laissé aux agences fédérales américaines jusqu'au 4 juillet pour corriger. Cette date n'est pas votre obligation, mais l'inscription est votre avertissement: une vulnérabilité que quelqu'un a minimisée en mai sert à frapper des cibles réelles en juillet.
La faille en termes simples
CVE-2026-45659 est une vulnérabilité d'exécution de code à distance causée par une désérialisation non sécurisée de données non fiables, avec un score de gravité de 8.8 sur 10. En pratique, cela signifie qu'un attaquant peut faire exécuter au serveur le code de son choix. Elle touche les produits sur site, à savoir SharePoint Server Subscription Edition, SharePoint Server 2019 et SharePoint Enterprise Server 2016, et non le SharePoint hébergé en nuage dans Microsoft 365.
Le détail qui fait monter les enjeux est le faible seuil d'entrée. Exploiter la faille ne demande aucun droit d'administrateur, un seul compte doté de permissions ordinaires de Membre du site suffit. La plupart des organisations accordent ce niveau d'accès à des prestataires, à du personnel temporaire et à des dizaines d'utilisateurs courants. Un seul de ces identifiants, hameçonné ou réutilisé ailleurs, constitue toute la clé.
L'écart entre peu probable et exploitée
Lorsque Microsoft a publié le correctif en mai, l'éditeur a étiqueté la faille comme d'exploitation moins probable, une prévision raisonnable qui s'est avérée fausse en quelques semaines. Cet écart explique pourquoi les notes de gravité de l'éditeur devraient fixer votre ordre de correction et non votre décision de corriger. Une note prédit le comportement de l'attaquant, une inscription de la CISA aux vulnérabilités exploitées l'enregistre. Quand les deux divergent, le registre l'emporte, et il vient de l'emporter.
Le schéma n'est pas nouveau. Les serveurs de collaboration sur site, exposés à internet et riches en données internes, comptent parmi les logiciels les plus sûrement attaqués dans les parcs d'entreprise. Une note de gravité abaissée est une prévision, et démentir les prévisions est précisément ce pour quoi les attaquants sont payés.
Pourquoi NIS2 change les enjeux, et que faire maintenant
Pour les opérateurs européens, la conséquence est autant réglementaire que technique. Sous la directive NIS2, les organisations concernées doivent gérer les vulnérabilités connues et s'exposent à des contrôles et à des sanctions si elles y manquent. Une faille qui figure sur une liste publique de vulnérabilités exploitées, avec un correctif disponible depuis mai, est à peu près la preuve la plus claire qui soit qu'un correctif existait et n'a pas été appliqué. Après un incident, c'est le premier document qu'un enquêteur brandira.
L'action est étroite et immédiate. Vérifiez si vous exploitez l'une des trois versions sur site de SharePoint concernées. Si oui, appliquez maintenant la mise à jour de mai 2026 et cherchez des signes de compromission au lieu de supposer que la mise à jour referme la porte à elle seule. Prenez ensuite le catalogue de la CISA, et non l'étiquette de gravité de l'éditeur, comme déclencheur pour le prochain cas de ce type, car il y en a toujours un prochain.
À lire ensuite: Onze chargeurs signés contournent Secure Boot | 570 correctifs Windows en un jour, deux déjà exploités
