Le Centre canadien pour la cybersécurité a signalé le 24 septembre 2026 l'exploitation active de CVE-2026-65660 dans Microsoft SharePoint Server. Le lendemain, Microsoft indiquait disposer d'éléments fiables attestant des attaques observées ; CISA a ajouté la faille à son catalogue des vulnérabilités exploitées (KEV). CVE-2026-65660 permet à un attaquant authentifié d'exécuter du code sur un serveur vulnérable.
Le périmètre est important : l'alerte concerne les fermes SharePoint Server locales, pas SharePoint Online dans Microsoft 365. Une chaîne avec une autre faille SharePoint peut toutefois permettre une exécution préauthentifiée sur un serveur configuré pour autoriser l'accès anonyme à certaines pages, si les correctifs antérieurs requis ne sont pas installés.
Ce que fait CVE-2026-65660
Microsoft décrit la faille dans son guide de sécurité, tandis que les analyses techniques détaillent un chemin de génération de code insuffisamment contrôlé. La conséquence documentée est l'exécution de code sur le serveur vulnérable avec le contexte obtenu par l'attaquant.
La faille ne signifie pas que chaque site SharePoint a été compromis. Elle impose de vérifier les versions, l'exposition, les comptes autorisés et les changements apparus dans la ferme.
Le signal d'exploitation active
Le 25 septembre, Microsoft a ajouté à son avis qu'il disposait d'éléments fiables d'attaques observées. CISA a inscrit CVE-2026-65660 à son catalogue KEV le même jour. Previdian a également décrit des tentatives d'exploitation observées sur ses capteurs ; ces éléments confirment l'activité, mais ne donnent ni la liste des organisations ciblées ni le bilan des compromissions réussies.
Le code d'exploitation publié décrit un contournement des contrôles SafeControls et une charge exécutée en mémoire. L'absence d'un nouveau fichier ASPX ne suffit donc pas à exclure une exploitation : examinez les requêtes, processus, événements SharePoint et IIS, ainsi que les modifications de configuration.
Vérifications pour les administrateurs
Inventoriez SharePoint Server 2016, 2019 et Subscription Edition, puis vérifiez les builds corrigés indiqués par le Centre canadien : 16.0.5565.1001 pour 2016, 16.0.10417.20198 pour 2019 et 16.0.19725.20522 pour Subscription Edition. Les éditions 2016 et 2019 sont en fin de support depuis le 15 juillet 2026 ; prévoyez leur migration vers une version supportée. Réduisez l'exposition Internet et limitez l'accès aux interfaces d'administration.
Préservez les journaux IIS, SharePoint, Windows et les journaux d'authentification. Recherchez des requêtes anormales, des fichiers ASPX inattendus, des processus enfants de w3wp.exe, des comptes créés récemment et des connexions sortantes inhabituelles.
Après une suspicion
Isolez la ferme concernée sans détruire les preuves. Réinitialisez les secrets de service, les comptes administrateurs et les clés qui auraient pu être accessibles, puis vérifiez les systèmes connectés et les bibliothèques sensibles.
Les utilisateurs doivent se méfier des demandes de réinitialisation ou de partage qui arrivent après une alerte. Une compromission d'un serveur de collaboration peut aussi servir à préparer un phishing ciblé, même si le contenu exact consulté n'est pas encore établi.
Le lien avec Soclyde
Soclyde ne corrige pas SharePoint et ne remplace pas l'investigation d'une ferme locale. Il peut aider une équipe à préparer une rotation documentée des accès : générer des secrets uniques et les garder dans un coffre chiffré local-first évite de les recopier dans des scripts ou tickets temporaires. Pour organiser leur transmission au sein d'une équipe, consultez aussi le guide du partage sécurisé des mots de passe.
Cette organisation limite les copies de secrets pendant la réponse, sans prétendre détecter l'exploitation ou garantir l'intégrité de SharePoint.
À retenir
CVE-2026-65660 est exploitée sur des versions locales de SharePoint Server. Appliquez les mises à jour, distinguez Server d'Online, préservez les journaux et recherchez les signes d'exécution avant de décider d'une rotation large. Consultez le guide du générateur de mots de passe sécurisé ou contactez Soclyde.
