L’Agence de la cybersécurité et des infrastructures (CISA) a émis une alerte urgente concernant deux vulnérabilités critiques dans Microsoft SharePoint, désignées comme CVE-2025-49704 et CVE-2025-49706. Les deux vulnérabilités sont activement exploitées dans le monde, ce qui représente un risque significatif pour les organisations qui exploitent des serveurs SharePoint locaux.
Une vulnérabilité qui peut s’avérer critique
La première vulnérabilité, CVE-2025-49704, est une faille grave d’injection de code qui permet à des attaquants autorisés d’exécuter du code arbitraire via une connexion réseau, ce qui pourrait entraîner un contrôle total sur le serveur compromis. Cette vulnérabilité est classée comme CWE-94, se référant au Contrôle Inadéquat de la Génération de Code, et peut entraîner l’exposition de données sensibles et une possible exfiltration d’informations.
D’autre part, CVE-2025-49706 est une vulnérabilité d’authentification incorrecte qui facilite les attaques de falsification, permettant aux attaquants de contourner les contrôles d’authentification et d’accéder sans autorisation à des informations critiques. Cette faille est classée sous CWE-287, et son exploitation réussie permet aux attaquants de modifier des données et de compromettre l’intégrité des environnements SharePoint.
Lorsque les deux vulnérabilités sont combinées, elles créent un vecteur d’attaque puissant. Les attaquants utilisent souvent CVE-2025-49706 pour contourner l’authentification et exploitent ensuite CVE-2025-49704 pour injecter du code malveillant. La CISA a ajouté les deux vulnérabilités à son catalogue des Vulnérabilités Connues Exploitées (KEV) avec un délai de remédiation de 24 heures, soulignant l’urgence et la gravité de la situation.
De même, le CISA a recommandé aux organisations de prendre des mesures immédiates, en particulier celles qui utilisent des versions de SharePoint qui ne sont plus prises en charge. Pour les versions prises en charge, il est conseillé d’appliquer les derniers correctifs de sécurité et de suivre les recommandations de mitigation fournies par Microsoft.
