Vulnérabilité Zero-Day de SharePoint CVE-2025-53770 activement exploitée : ce que les équipes de sécurité doivent savoir. Tribune.
Principales conclusions :
- Une vulnérabilité critique de type zero-day (CVE-2025-53770) affectant SharePoint on-premise est actuellement exploitée activement dans la nature.
- Baptisée « ToolShell », cette campagne permet un accès non autorisé aux serveurs SharePoint on-premise, constituant un risque majeur pour les environnements d’entreprise.
Check Point Research a détecté les premiers signes d’exploitation le 7 juillet.
Depuis, des dizaines de serveurs compromis ont été confirmés, notamment dans les secteurs gouvernemental, des télécommunications et des logiciels en Amérique du Nord et en Europe de l’Ouest. - Fait inquiétant, les attaquants exploitent également des vulnérabilités connues d’Ivanti Endpoint tout au long de la campagne.
Une vulnérabilité critique de type exécution de code à distance (RCE) affectant SharePoint, identifiée sous la référence CVE-2025-53770 et surnommée « ToolShell », est actuellement exploitée activement. Cette faille touche les serveurs Microsoft SharePoint on-premise et permet à des attaquants non authentifiés d’accéder pleinement aux systèmes et d’exécuter du code arbitraire à distance. Malgré les directives publiques de Microsoft et une alerte de la CISA, aucun correctif de sécurité complet n’est encore disponible.
Que révèle l’analyse de Check Point Research ?
Check Point Research a observé les premières tentatives d’exploitation le 7 juillet. La cible initiale de l’attaque est un gouvernement occidental majeur. Les attaques se sont intensifiées les 18 et 19 juillet à l’aide d’infrastructures liées aux adresses IP suivantes :
- 104.238.159.149
- 107.191.58.76
- 96.9.125.147
L’une de ces adresses IP a également été liée à des tentatives d’exploitation d’une chaîne de vulnérabilités Ivanti EPMM (CVE-2025-4427 et CVE-2025-4428).
Le vecteur d’attaque repose sur un webshell personnalisé analysant les paramètres issus de charges VIEWSTATE, permettant des attaques par désérialisation non sécurisée. Les secteurs ciblés sont les suivants :
- Gouvernement
- Logiciels
- Télécommunications
Les zones géographiques les plus touchées sont l’Amérique du Nord et l’Europe de l’Ouest, en particulier les organisations disposant d’environnements SharePoint on-premise.
Quelles sont les implications pour les défenseurs et les entreprises ?
Cette campagne d’exploitation souligne la nécessité cruciale de surveiller et de sécuriser les infrastructures legacy et on-premise. Les acteurs malveillants exploitent rapidement des vulnérabilités non corrigées de SharePoint et enchaînent les exploits, comme CVE-2025-53770 et d’autres failles antérieures telles que CVE-2025-49706, pour obtenir un accès initial et escalader les privilèges.
Il s’agit d’un nouvel exemple d’exploitation ciblée d’une vulnérabilité zero-day de SharePoint contre des secteurs manipulant des données sensibles et des systèmes critiques.
Ci-dessous, le commentaire de Charles Carmakal, CTO de Mandiant Consulting – Google Cloud. Ce dernier alerte sur l’implication probable d’un acteur lié à la Chine et sur la montée en puissance des campagnes d’exploitation :
“Nous estimons qu’au moins l’un des auteurs responsables de cette exploitation précoce est un acteur malveillant lié à la Chine. Il est essentiel de comprendre que cette vulnérabilité est désormais activement exploitée par plusieurs groupes. Nous nous attendons à ce que cette tendance s’intensifie, car d’autres acteurs aux motivations diverses étant susceptibles de tirer parti de cette faille à leur tour”.
