Conseils aux entreprises, Cybersécurité
Faille SharePoint 2026 : deux vulnérabilités exploitées, que faire ?
Deux failles de Microsoft SharePoint Server sont exploitées dans des attaques réelles. Le bulletin du CERT-FR publié le 20 juillet 2026 place CVE-2026-58644 et CVE-2026-56164 parmi les vulnérabilités significatives de la semaine. La première permet une exécution de code à distance sans authentification et affiche un score CVSS de 9,8. La seconde peut permettre à […]
Deux failles de Microsoft SharePoint Server sont exploitées dans des attaques réelles. Le bulletin du CERT-FR publié le 20 juillet 2026 place CVE-2026-58644 et CVE-2026-56164 parmi les vulnérabilités significatives de la semaine. La première permet une exécution de code à distance sans authentification et affiche un score CVSS de 9,8. La seconde peut permettre à un attaquant non authentifié d’élever ses privilèges sur le réseau.
Cette alerte concerne les organisations qui exploitent elles-mêmes SharePoint Server 2016, SharePoint Server 2019 ou SharePoint Server Subscription Edition. Si votre entreprise utilise uniquement SharePoint dans Microsoft 365, vous n’administrez pas ces serveurs et la procédure décrite ici ne s’applique pas de la même manière. En revanche, un environnement hybride peut encore comporter une ferme SharePoint locale : il faut donc identifier l’architecture réelle avant de conclure que le risque est absent.
Ce que dit l’alerte SharePoint du 20 juillet 2026
Le bulletin CERTFR-2026-ACT-031 récapitule les vulnérabilités critiques observées entre le 13 et le 19 juillet. Il indique que CVE-2026-58644 et CVE-2026-56164 affectent les éditions prises en charge de SharePoint Server et sont exploitées. Cette qualification change la priorité : il ne s’agit plus seulement d’une faiblesse théorique à planifier dans un prochain cycle de maintenance.
La CISA a également ajouté CVE-2026-58644 à son catalogue des vulnérabilités connues comme exploitées. Les données publiées par le NIST décrivent une désérialisation de données non fiables qui permet à un attaquant non authentifié d’exécuter du code sur le réseau. L’exploitation est annoncée comme automatisable, avec un impact technique potentiellement total. Pour un serveur exposé à Internet, chaque heure sans correctif augmente donc inutilement le risque.
À retenir. Une note CVSS élevée ne suffit pas, à elle seule, à prédire une attaque. Ici, le signal décisif est différent : les autorités confirment une exploitation active. La mise à jour doit être traitée comme une action prioritaire, pas comme une simple amélioration technique.
Comment savoir si votre entreprise est concernée
Le nom « SharePoint » recouvre deux réalités. SharePoint Server est installé sur des serveurs administrés par l’entreprise ou son prestataire, dans ses locaux, dans un datacenter ou dans une infrastructure cloud de type IaaS. SharePoint dans Microsoft 365 est un service SaaS administré par Microsoft. Une entreprise peut aussi utiliser une architecture hybride qui relie les deux.
Les trois éditions citées par Microsoft
- Microsoft SharePoint Enterprise Server 2016 ;
- Microsoft SharePoint Server 2019 ;
- Microsoft SharePoint Server Subscription Edition.
Demandez à votre responsable informatique ou à votre prestataire la version exacte, le numéro de build, la date du dernier correctif cumulatif et l’éventuelle exposition à Internet. Ne vous contentez pas de demander « utilisons-nous Microsoft 365 ? » : une ferme locale ancienne peut rester active pour un intranet, une application métier, une recherche hybride ou des archives.
Si personne ne sait qui maintient la plateforme, considérez cette absence d’information comme un risque en soi. Un inventaire rapide des serveurs, des noms DNS, des contrats et des accès administrateurs doit précéder toute manipulation.
Pourquoi ces deux failles SharePoint sont prioritaires
CVE-2026-58644 : exécution de code à distance
Microsoft décrit une désérialisation de données non fiables dans SharePoint. Dans le scénario publié, un attaquant non authentifié peut envoyer des données spécialement préparées et obtenir l’exécution de code sur le serveur. La combinaison « accès réseau, faible complexité, aucune authentification et aucune interaction utilisateur » explique le score CVSS de 9,8.
Une prise de contrôle du serveur peut ouvrir l’accès aux documents, aux comptes de service et aux connexions vers d’autres composants du système d’information. Le risque ne se limite donc pas à l’indisponibilité d’un intranet.
CVE-2026-56164 : élévation de privilèges
Cette seconde vulnérabilité provient d’une authentification manquante pour une fonction critique. Elle peut permettre à un attaquant non autorisé d’obtenir davantage de privilèges à distance. Son score est inférieur, mais l’exploitation confirmée et la possibilité de la combiner avec d’autres faiblesses justifient une correction urgente.
Les actions à mener immédiatement
1. Confirmer la version et l’exposition
Identifiez chaque serveur de la ferme, son rôle, son build et ses accès externes. Vérifiez aussi les reverse proxies, VPN et règles de pare-feu. Un serveur non directement exposé reste vulnérable si un attaquant déjà présent sur le réseau peut l’atteindre.
2. Sauvegarder avant de corriger
Contrôlez la dernière sauvegarde exploitable de la ferme, des bases SQL, de la configuration et des éléments nécessaires à la restauration. Une sauvegarde uniquement connectée au réseau ne suffit pas face à tous les scénarios : la méthode de sauvegarde 3-2-1 pour PME donne un cadre utile pour séparer les copies et tester la restauration.
3. Télécharger les mises à jour Microsoft adaptées
Microsoft a publié les correctifs de juillet pour SharePoint Server 2016, 2019 et Subscription Edition. Utilisez la liste officielle des mises à jour Office de juillet 2026, puis ouvrez la fiche correspondant exactement à votre édition. Pour Subscription Edition, la mise à jour KB5002882 contient de nombreuses corrections de sécurité, dont CVE-2026-56164.
4. Lire les prérequis et problèmes connus
Une mise à jour SharePoint ne se résume pas au lancement d’un fichier. Par exemple, Microsoft signale un prérequis spécifique pour SharePoint Workflow Manager avec KB5002882 et une action à effectuer après PSConfig pour traiter une régression connue. Suivez la fiche de votre édition et documentez chaque étape. N’appliquez pas une commande copiée d’une autre version.
5. Installer, exécuter la configuration et tester
Prévoyez une fenêtre de maintenance, corrigez tous les serveurs concernés, exécutez l’assistant ou les outils de configuration requis, puis contrôlez l’état de la ferme. Testez l’authentification, la recherche, l’ouverture et le dépôt de documents, les workflows, les applications métiers et les sauvegardes. Conservez les numéros de build avant et après intervention.
6. Réduire l’exposition inutile
Si une publication directe sur Internet n’est pas indispensable, limitez-la au moyen d’un VPN, d’un proxy correctement configuré ou de règles d’accès adaptées. Cette mesure réduit la surface d’attaque, mais ne remplace jamais le correctif : un compte compromis ou une machine interne infectée peut contourner une protection périmétrique.
Que faire si une compromission est suspectée
Un correctif ferme une vulnérabilité, mais n’efface pas une intrusion déjà réussie. Si les journaux montrent des requêtes inhabituelles, des fichiers inconnus, des comptes créés sans raison, des tâches planifiées suspectes ou des connexions sortantes anormales, ne remettez pas simplement le serveur en production après mise à jour.
- isolez le système de façon contrôlée pour limiter les mouvements latéraux ;
- préservez les journaux, horodatages et autres preuves avant nettoyage ;
- faites analyser le serveur, les comptes de service et les systèmes voisins ;
- changez les secrets concernés selon un ordre défini après l’analyse ;
- restaurez depuis une base saine si l’intégrité ne peut pas être démontrée.
Pour une petite structure sans équipe de sécurité interne, le bon réflexe est de ne pas multiplier les manipulations. Pixel Info peut aider à cadrer le diagnostic initial et à coordonner une intervention adaptée depuis son atelier informatique à Annecy. Pour une compromission avérée d’un serveur d’entreprise, une réponse à incident spécialisée peut être nécessaire.
Comment éviter la prochaine urgence de sécurité
Une plateforme SharePoint locale demande une maintenance continue. L’entreprise doit savoir qui surveille les avis Microsoft et CERT-FR, qui valide les correctifs, combien de temps un test peut durer et qui décide d’une installation urgente. Sans responsable identifié, la mise à jour finit souvent par dépendre d’une alerte tardive ou d’un incident.
- maintenez un inventaire des serveurs, versions, propriétaires et dépendances ;
- abonnez-vous aux avis de l’éditeur et du CERT-FR ;
- définissez un délai maximal selon la criticité et l’exploitation observée ;
- conservez un environnement de test représentatif ;
- automatisez la collecte des journaux sans automatiser aveuglément la décision ;
- testez régulièrement la restauration et les procédures d’urgence ;
- réévaluez l’intérêt d’une plateforme locale lorsque les compétences de maintenance ne sont plus disponibles.
Cette discipline vaut aussi pour les sites web professionnels. Une maintenance WordPress structurée associe mises à jour, sauvegardes, sécurité et contrôles fonctionnels au lieu d’attendre la panne.
Questions fréquentes sur les failles SharePoint 2026
SharePoint Online dans Microsoft 365 est-il concerné ?
Les produits listés dans les avis sont SharePoint Server 2016, 2019 et Subscription Edition, c’est-à-dire des éditions serveur administrées par l’organisation. Une architecture hybride peut néanmoins conserver des serveurs locaux : vérifiez l’inventaire avant de conclure.
Faut-il couper immédiatement le serveur d’Internet ?
Si le correctif ne peut pas être appliqué immédiatement, réduire l’exposition est une mesure prudente. Elle doit être décidée selon l’usage, l’architecture et les accès nécessaires. Elle ne remplace pas la mise à jour et ne protège pas contre un attaquant déjà présent sur le réseau.
Installer le correctif suffit-il après une attaque ?
Non. Le correctif empêche de nouvelles exploitations de la faille, mais ne supprime ni compte, ni porte dérobée, ni secret volé. Une compromission suspectée exige une analyse, une conservation des preuves et parfois une restauration complète.
Peut-on attendre la prochaine maintenance mensuelle ?
Ce n’est pas recommandé lorsque la version est vulnérable : l’exploitation active confirmée par le CERT-FR et la présence dans le catalogue CISA justifient une action prioritaire, avec un test proportionné au risque métier.
Que doit demander un dirigeant à son prestataire ?
Demandez la version et le build actuels, la liste des serveurs, leur exposition, la date du dernier correctif, l’état des sauvegardes, les contrôles de compromission effectués et le compte rendu des tests après mise à jour.
Corriger vite, mais avec une méthode vérifiable
Les failles SharePoint de juillet 2026 réunissent trois signaux forts : exploitation active, accès distant sans authentification et impact potentiellement majeur. La bonne réponse n’est ni l’attente ni la précipitation. Elle consiste à identifier l’édition, sauvegarder, appliquer le correctif Microsoft adapté, exécuter la configuration requise et vérifier l’absence de compromission.
Un doute sur votre environnement ou vos sauvegardes ?
Pixel Info accompagne les professionnels autour d’Annecy et à distance pour clarifier un risque informatique, préparer un diagnostic et orienter les prochaines étapes. Décrivez votre situation à Pixel Info avant de laisser un serveur critique sans responsable identifié.
L’avis d’Axel : d’abord identifier qui administre réellement SharePoint
« La première erreur consiste à appliquer une procédure SharePoint Server à une entreprise qui utilise uniquement Microsoft 365. Je vérifie d’abord si un serveur local existe, qui en possède les accès, quelle édition est installée et si une sauvegarde restaurable est disponible. Sans ces réponses, on ne corrige pas : on devine. » — Axel Arnaud, Pixel Info
| Situation constatée | Décision responsable |
|---|---|
| SharePoint Online uniquement | Vérifier les messages Microsoft 365 et les comptes, sans modifier un serveur qui n’existe pas. |
| Serveur SharePoint local identifié | Inventorier version, correctifs, sauvegardes et exposition avant toute intervention. |
| Compromission suspectée | Isoler, préserver les journaux et solliciter l’équipe d’infrastructure ou de réponse à incident compétente. |
| Responsable inconnu | Ne pas improviser en production : retrouver le prestataire, les accès et le plan de reprise. |
Pixel Info peut réaliser le premier tri, sécuriser les postes et orienter la prise en charge via l’assistance informatique. Une ferme SharePoint critique ou une compromission avérée relève ensuite d’un administrateur Microsoft ou d’une équipe de réponse à incident spécialisée.
Article revu le 30 juillet 2026 à partir des bulletins CERT-FR, Microsoft, CISA et NIST cités ci-dessous.