CVE-2026-45659 : La faille RCE SharePoint qui donne les clés du serveur à un simple utilisateur

Microsoft a publié un correctif de sécurité d'urgence pour une dangereuse vulnérabilité dans SharePoint Server, deux semaines seulement après son Patch Tuesday mensuel . La faille, identifiée sous le code CVE-2026-45659, permet à un attaquant disposant de simples identifiants de "Membre du site" de prendre le contrôle total d'un serveur, soulignant un schéma alarmant de failles critiques dans les déploiements locaux de SharePoint . Pour les équipes de sécurité qui gèrent leurs propres fermes SharePoint, il ne s'agit pas d'un énième correctif, mais d'une priorité absolue.

Analyse de la vulnérabilité : Comment fonctionne CVE-2026-45659

CVE-2026-45659 est une faille classique et dangereuse : une vulnérabilité de désérialisation de données non fiables, formellement répertoriée sous le code CWE-502 . En termes simples, SharePoint accepte et traite des "paquets" de données complexes envoyés par les utilisateurs. En raison de la faille, un attaquant peut créer un paquet malveillant qui, une fois "déballé" (désérialisé) par le serveur, exécute le code de son choix.

Pour les RSSI et leurs équipes, les spécifications techniques sont sans appel :

• Score CVSS 3.1 : 8.8 (Élevé) .
• Vecteur d'attaque : Réseau .
• Complexité de l'attaque : Faible, un expert en cybersécurité parlerait d'une attaque "clé en main" .
• Privilèges requis : Faibles. Un attaquant n'a besoin que de privilèges basiques de "Membre du site" (Site Member) sur le serveur SharePoint .
• Interaction de l'utilisateur : Aucune. Aucun clic sur un lien ou téléchargement de fichier n'est nécessaire de la part d'une victime innocente .
• Impact : Élevé sur la confidentialité, l'intégrité et la disponibilité. Une attaque réussie peut conduire à une compromission complète du système et à une fuite de données massive .

Ce dangereux cocktail – faibles privilèges, absence d'interaction utilisateur et accès via le réseau – fait de cette faille une cible de premier choix pour les attaquants. Un simple compte utilisateur standard compromis peut devenir la porte d'entrée vers un contrôle total du serveur.

Versions affectées

Il s'agit d'un problème strictement limité aux infrastructures locales (on-premises). La vulnérabilité affecte les trois versions de SharePoint Server listées ci-dessous. SharePoint Online n'est pas concerné .

• Microsoft SharePoint Server Subscription Edition (build antérieure à la 16.0.5552.1002)
• Microsoft SharePoint Server 2019 (build antérieure à la 16.0.10417.20128)
• Microsoft SharePoint Enterprise Server 2016 (build antérieure à la 16.0.5552.1002)

Pour chaque version, Microsoft a fourni une référence de mise à jour (KB) et un numéro de build spécifiques que les administrateurs peuvent utiliser pour vérifier leur niveau de correctif. La mise à jour a été rendue disponible le 12 mai 2026 dans le cadre d'un cycle de sécurité standard, mais son caractère critique a été souligné par la suite .

Un schéma plus large d'attaques par désérialisation sur SharePoint

CVE-2026-45659 n'est pas un incident isolé. Elle est la dernière-née d'une longue série de vulnérabilités de désérialisation à fort impact qui ont visé les déploiements locaux de SharePoint.

L'exemple le plus frappant est la CVE-2026-20963, une faille similaire dont le score CVSS a été réévalué à 9,8. Elle était si dangereuse que la Cybersecurity and Infrastructure Security Agency (CISA) américaine – l'équivalent de l'ANSSI en France – l'a ajoutée à son catalogue des Vulnérabilités Connues et Exploitées (KEV) le 18 mars 2026, après avoir confirmé une exploitation active dans la nature . Le CERT-EU a rapporté que Microsoft avait dû mettre à jour son avis de sécurité pour clarifier un point terrifiant : la CVE-2026-20963 pouvait en réalité être exploitée par un attaquant non authentifié, ne nécessitant donc même pas de compte utilisateur .

D'autres failles connexes, comme la CVE-2026-33110, impliquent également une désérialisation de données non fiables et affectent les mêmes gammes de produits . Le constat est accablant : attaquants et chercheurs en sécurité scrutent avec une attention particulière les mécanismes de désérialisation de SharePoint, et des failles critiques sont découvertes à un rythme très préoccupant. Pour les administrateurs SharePoint, une politique de correctifs rapide et rigoureuse n'a jamais été aussi vitale.

Stratégies de défense et mesures d'atténuation

Appliquer le correctif est la seule solution définitive, mais une approche de défense en profondeur est indispensable pour une protection optimale. Voici les étapes recommandées pour toute organisation qui exploite SharePoint en local :

1. Appliquer le correctif sans délai : C'est l'action la plus importante. Localisez et déployez la mise à jour de sécurité spécifique à votre version de SharePoint, en donnant la priorité absolue aux serveurs accessibles depuis Internet .
2. Auditer et restreindre les privilèges : Puisque CVE-2026-45659 ne nécessite qu'un accès "Membre du site", une revue exhaustive des permissions est indispensable. Appliquez le principe de moindre privilège (least privilege) et supprimez sans attendre tous les accès non essentiels .
3. Durcir la supervision du serveur : Déployez une solution de détection et réponse sur les terminaux (EDR) pour traquer les activités post-exploitation. Les équipes de sécurité doivent surveiller les créations de processus suspects depuis le pool d'applications de SharePoint (w3wp.exe), les connexions réseau sortantes inhabituelles ou les shells web, et tout comportement anormal des comptes de service.
4. Vérifier le traitement des failles connexes : Un serveur corrigé pour la CVE-2026-45659 reste une proie facile s'il est encore vulnérable à la CVE-2026-20963, activement exploitée. Profitez de ce cycle de mise à jour pour vous assurer que tous les correctifs de sécurité SharePoint liés ont bien été appliqués .
5. Réduire la surface d'attaque : Si vos serveurs SharePoint n'ont pas besoin d'être accessibles depuis l'Internet public, bloquez tout accès externe via des restrictions au niveau réseau. Pour les services qui doivent absolument être exposés, placez-les impérativement derrière un Web Application Firewall (WAF) configuré avec des règles dédiées au blocage des attaques par désérialisation.