[MàJ] Multiples vulnérabilités dans Microsoft SharePoint
ANSSI — Licence Ouverte / Etalab 2.0. Publication d'origine, 21 juillet 2025.
L'essentiel
- Le 19 juillet 2025, Microsoft a publié des correctifs pour une vulnérabilité de type jour-zéro affectant SharePoint Enterprise Server 2016, SharePoint Server 2019 et SharePoint Server Subscription Edition.
- Dès que le correctif est appliqué ou l’instance SharePoint isolée : rechercher dans les journaux réseau IIS SharePoint en privilégiant la période allant du 7 juillet 2025 jusqu'à la date d'application des correctifs de sécurité.
Phrases relevées telles quelles dans le texte officiel reproduit ci-dessous (ANSSI, Licence Ouverte / Etalab 2.0).
Texte officiel intégral
Ci-dessous, le corps complet de la publication de ANSSI, reproduit sans modification. La Licence Ouverte / Etalab 2.0 en autorise expressément la reproduction, à la seule condition d'en mentionner la paternité.
L'éditeur annonce que SharePoint Enterprise Server 2010 et SharePoint Enterprise Server 2013 ne recevront pas de correctifs de sécurité. Le CERT-FR recommande aux utilisateurs de migrer vers un produit disposant de mises à jours.
Résumé
Le 20 juillet 2025, Microsoft a publié des correctifs pour une vulnérabilité de type limitation insuffisante d'un chemin d'accès à un répertoire restreint, aussi appelé path traversal, affectant SharePoint Enterprise Server 2016, SharePoint Server 2019 et SharePoint Server Subscription Edition. L'éditeur indique que la vulnérabilité CVE-2025-53771 permet à un attaquant de provoquer une usurpation d'identité sur un réseau.
Microsoft a publié les mises à jour cumulatives ( Cumulative Update, CU ) de sécurité pour SharePoint Enterprise Server 2016. L'éditeur fournit également des marqueurs de compromission à rechercher [3].
Le 19 juillet 2025, Microsoft a publié des correctifs pour une vulnérabilité de type jour-zéro affectant SharePoint Enterprise Server 2016, SharePoint Server 2019 et SharePoint Server Subscription Edition. L'éditeur indique que la vulnérabilité CVE-2025-53770 permet à un attaquant de provoquer une désérialisation de données non fiables entrainant une exécution de code arbitraire à distance.
Microsoft indique que la vulnérabilité CVE-2025-53770 est activement exploitée.
Pour limiter les attaques potentielles, l'éditeur a fait des recommandations [1].
- si l'instance SharePoint est dans une version disposant d'un correctif pour cette vulnérabilité : appliquer les dernières mises à jour de sécurité, y compris la mise à jour de sécurité de juillet 2025 ;
L'éditeur fournit des moyens de détection et de protection pour Microsoft Defender Antivirus [1].
Recherche de compromission
Dès que le correctif est appliqué ou l’instance SharePoint isolée :
- rechercher dans les journaux réseau IIS SharePoint en privilégiant la période allant du 7 juillet 2025 jusqu'à la date d'application des correctifs de sécurité.
Les caractéristiques des requêtes HTTP sont décrites ci-dessous:
Si des journaux système sont disponibles, rechercher des processus inhabituels générés par le processus IIS w3wp.exe tels que powershell.exe ou cmd.exe.
En cas de compromission, signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les fiches réflexes de compromission système [4][5].
Le CERT-FR recommande de déterminer si l’instance SharePoint n’héberge pas des secrets d’administration du système d'information.
Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Description de la mise à jour de sécurité pour SharePoint Enterprise Server 2016 : 8 juillet 2025 (KB5002744)
- Description de la mise à jour de sécurité pour SharePoint Server 2019 : 8 juillet 2025 (KB5002741)
- Mise à jour de sécurité pour Microsoft SharePoint Enterprise Server 2016 (KB5002760)
- Mise à jour de sécurité pour Microsoft SharePoint Enterprise Server 2016 Language Pack (KB5002759)
- Mise à jour de sécurité pour Microsoft SharePoint Server Subscription Edition (KB5002768)
Fin du texte officiel repris
Source :ANSSI, publié le — Licence Ouverte / Etalab 2.0.
Consulter la publication d'originehttps://www.cert.ssi.gouv.fr/alerte/CERTFR-2025-ALE-010/
Texte reproduit dans son intégralité. La mention de la source et de sa date de dernière mise à jour est la seule condition posée par la Licence Ouverte / Etalab 2.0 ; elle ne confère aucun caractère officiel à cette reprise et ne vaut ni reconnaissance ni caution de fildactu.fr par l'émetteur.
Sources
Sujets liés
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
Le texte encadré plus haut est le corps de la publication de ANSSI, repris dans son intégralité et sans modification. La Licence Ouverte / Etalab 2.0 sous laquelle cet organisme diffuse ses informations concède « un droit non exclusif et gratuit de libre réutilisation », dont celui « de la communiquer, la reproduire, la copier » et « de l'exploiter à titre commercial », sous la seule réserve d'en « mentionner la paternité » — la source et la date de dernière mise à jour, portées en tête et en pied du texte, avec le lien vers l'original. La mise en page — chapô détaché, intertitres, sommaire — est de fildactu.fr ; les mots sont ceux de l'émetteur, et pas un n'a été ajouté, retiré ni reformulé. Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.