Deux cybergangs soutenus par la Chine exploitent les failles zero day Sharepoint

Les dernières exploitations de failles de Sharepoint (2016, 2019 et Subscription Edition) ne sont vraiment pas à prendre à la légère. Depuis l'alerte de sécurité de Microsoft ce week-end, l'éditeur a avancé dans ses investigations et apporté des précisions sur cet incident majeur. "Microsoft a observé que deux acteurs étatiques chinois, Linen Typhoon et Violet Typhoon, exploitaient ces vulnérabilités en ciblant des serveurs Sharepoint ouverts sur Internet", a expliqué la société. "En outre, nous avons observé qu'un autre acteur basé en Chine, connu sous le nom de Storm-2603, exploite ces vulnérabilités. Les enquêtes sur d'autres acteurs utilisant également ces exploits sont toujours en cours."

Selon Microsoft, ces trois groupes de pirates ont été observés en train d'exploiter ces failles zero day pour s'introduire dans des serveurs Sharepoint vulnérables depuis le 7 juillet. Le temps a passé et depuis ce sont au moins plusieurs dizaines de serveurs, incluant ceux d'agences fédérales américaines, qui ont été exposés. La firme de Redmond n'est pas la seule à avoir attribué à la Chine ces exploitations. C'est également le cas de Mandiant (Google) dont le directeur technique Charles Carmakal a indiqué à Techrunch qu'« au moins l'un des acteurs responsables » était un groupe de pirates chinois, tout en expliquant que « de nombreux activistes exploitent désormais activement cette vulnérabilité [CVE-2025-53770]. » Si tel est le cas, ce ne sont pas plusieurs dizaines mais plusieurs centaines voire milliers de serveurs Sharepoint qui pourraient être touchés.

Le Cert-FR a sonné l'alerte

Les deux failles zero day exploitées affectant ces versions de Sharepoint sont la CVE-2025-53771 (path traversal), et surtout la CVE-2025-53770 (RCE). Dans son analyse, Microsoft indique aussi que les cyberpirates ont également tenté d'exploiter les CVE-2025-49706 (spoofing) et CVE-2025-49704 (RCE) pour obtenir un accès initial à leurs victimes potentielles. L'éditeur a publié les mises à jour de sécurité dans un premier temps pour Sharepoint 2019 et Subscription Edition, avant de mettre à disposition quelques heures plus tard celle pour la version 2016.

En France, le Cert-FR a réagi face à cette alerte et recommandé les actions suivantes : "si l'instance Sharepoint est dans une version disposant d'un correctif pour cette vulnérabilité : appliquer les dernières mises à jour de sécurité, y compris la mise à jour de sécurité de juillet 2025 ; effectuer une rotation des clefs de machine ASP.NET du Sharepoint Server ; redémarrer IIS sur tous les serveurs Sharepoint. Si ça n'est pas le cas, déconnecter ou filtrer les accès à cette instance. L'éditeur fournit des moyens de détection et de protection pour Microsoft Defender Antivirus."