ToolShell : des failles de SharePoint Server exploitées massivement par des groupes chinois

2025-07-19 · Éditeur : Microsoft · Domaine : Cybersécurité

Microsoft alerte sur l'exploitation active de vulnérabilités de SharePoint Server sur site, attribuée à trois groupes liés à la Chine, dont un qui déploie le rançongiciel Warlock.

### Contexte Le 19 juillet 2025, le centre de réponse de **Microsoft** publie un avis sur **CVE-2025-53770**, une faille de **SharePoint Server** sur site activement exploitée. Les attaques contournent des vulnérabilités que la mise à jour de juillet n'avait corrigées qu'en partie. La chaîne d'exploitation est surnommée **ToolShell** par les chercheurs. ### Caractéristiques - Failles en cause : **CVE-2025-49704** et **CVE-2025-49706**, puis leurs variantes **CVE-2025-53770** (exécution de code à distance) et **CVE-2025-53771**. - Versions concernées : **SharePoint Server 2016, 2019 et Subscription Edition** ; **SharePoint Online n'est pas touché**. - Correctifs publiés entre le 20 et le 21 juillet 2025. - Le 22 juillet, Microsoft attribue l'exploitation à **Linen Typhoon** et **Violet Typhoon**, acteurs étatiques chinois, et à **Storm-2603**, basé en Chine. - Tentatives observées dès le **7 juillet 2025** ; à partir du 18 juillet, Storm-2603 déploie le rançongiciel **Warlock**. ### Pourquoi c'est important SharePoint sur site héberge souvent des documents sensibles et reste relié à l'annuaire de l'entreprise. Un correctif incomplet a ouvert une fenêtre exploitée à la fois pour l'espionnage et pour l'extorsion. ### À retenir Pour les applications collaboratives exposées sur Internet, la rotation des clés machine après correctif et la recherche de traces de compromission comptent autant que la mise à jour elle-même.

Tags : Vulnérabilité, Étatique, Rançongiciel