SharePoint CVE-2026-45659 : la désérialisation qui mène au rançongiciel Warlock

Les serveurs SharePoint hébergés sur site restent une cible de premier choix pour les opérateurs de rançongiciel, parce qu'ils sont exposés, centraux dans l'infrastructure documentaire, et souvent en retard de correctifs. CVE-2026-45659 s'inscrit dans cette lignée. Notée CVSS 8.8, il s'agit d'une exécution de code à distance résultant de la désérialisation de données non fiables. Microsoft a publié le correctif, mais l'exploitation active a été confirmée par la CISA et plusieurs éditeurs début juillet 2026, ce qui a conduit à son inscription au catalogue des vulnérabilités activement exploitées.

Un ensemble d'attaques a été attribué à Storm-2603, un acteur connu pour déployer le rançongiciel Warlock, souvent en exploitant des vulnérabilités connues de serveurs SharePoint sur site depuis mi-2025. La chaîne va donc de la faille de désérialisation au chiffrement, en passant par l'implantation de webshells.

Le mécanisme : désérialisation et exigence d'authentification

La vulnérabilité provient de la désérialisation par SharePoint de données non fiables, T1190 (Exploit Public-Facing Application). Un point important pour l'évaluation du risque : elle peut être déclenchée par un attaquant authentifié disposant au minimum de permissions de membre de site, sans autre privilège élevé, et sans interaction utilisateur. Ce seuil d'authentification faible est trompeur : sur un SharePoint où de nombreux comptes disposent d'un accès membre, ou dès qu'un identifiant valide est obtenu par ailleurs, la barrière est facile à franchir. Les produits concernés sont SharePoint Server Subscription Edition, SharePoint Server 2019 et SharePoint Enterprise Server 2016.

Une fois la RCE obtenue, le schéma d'exploitation typique consiste à implanter un webshell, T1505.003 (Server Software Component: Web Shell), et à accéder aux clés machine du serveur, ce qui permet de forger des jetons et de maintenir l'accès même après correctif.

Le signal de détection le plus fiable : w3wp lance un shell

Sur un serveur SharePoint, le processus de travail IIS, w3wp.exe, sert les requêtes web. Il n'a aucune raison légitime de lancer un interpréteur de commandes ou PowerShell. Quand c'est le cas, c'est presque toujours le signe d'une exploitation ayant abouti à l'exécution de code. C'est le point de détection le plus robuste, indépendant des détails de la charge.

title: Processus de travail SharePoint w3wp lancant un shell
id: 2b7e4f19-8c05-4a63-9d1f-6e0b3c7a2f58
status: experimental
description: >
  Detecte w3wp.exe lancant cmd ou PowerShell sur un serveur SharePoint, schema
  d exploitation post RCE (CVE-2026-45659, webshell).
references:
  - https://thehackernews.com/2026/07/sharepoint-rce-cve-2026-45659-added-to.html
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\w3wp.exe'
    Image|endswith:
      - '\cmd.exe'
      - '\powershell.exe'
      - '\pwsh.exe'
  condition: selection
falsepositives:
  - Tres rare, a documenter selon les extensions SharePoint legitimes du serveur
level: high
tags:
  - attack.execution
  - attack.t1190
  - attack.t1505.003

Complétez cette règle par une surveillance de la création de fichiers .aspx inattendus dans les répertoires de contenu SharePoint, marqueur d'implantation de webshell, et par une alerte sur les accès aux clés machine du serveur.

Vérifier la version avec Nuclei

Côté inventaire, un modèle Nuclei permet de repérer les serveurs SharePoint exposés et d'en estimer la version, pour prioriser les correctifs. Sur un serveur exposé sur Internet, cette vérification est urgente compte tenu du délai de correction très court imposé par la CISA.

id: sharepoint-server-exposure
info:
  name: Serveur SharePoint expose
  author: threatclaw
  severity: info
  description: Repere un serveur SharePoint accessible, a auditer pour CVE-2026-45659
  reference:
    - https://www.helpnetsecurity.com/2026/05/26/sharepoint-vulnerability-cve-2026-45659/
  tags: sharepoint,cve-2026-45659,kev,rce
http:
  - method: GET
    path:
      - "{{BaseURL}}/_layouts/15/start.aspx"
      - "{{BaseURL}}/_vti_pvt/service.cnf"
    matchers-condition: or
    matchers:
      - type: word
        words:
          - "SharePoint"
          - "MicrosoftSharePointTeamServices"
        condition: or
      - type: status
        status:
          - 200
          - 401

Les mesures recommandées par la CISA et Microsoft

Au delà du correctif, la CISA et Microsoft recommandent d'activer l'intégration AMSI sur les processus de travail SharePoint et IIS, et de régler le mode d'analyse du corps de requête sur complet, afin de permettre la détection des charges POST malveillantes. Elles ont publié des signatures de détection AMSI et Microsoft Defender pour cette vulnérabilité. La CISA conseille également d'examiner la télémétrie à la recherche de requêtes anormales, d'activité suspecte des processus de travail, de webshells et d'accès aux clés machine.

Un point crucial de remédiation : appliquer le correctif ne suffit pas si le serveur a déjà été compromis. Les attaquants ayant accédé aux clés machine peuvent conserver un accès. La remédiation complète implique donc, sur un serveur potentiellement compromis, la rotation des clés machine et la recherche approfondie de webshells et de persistance.

Couvrir cette chaîne, de l'exposition à l'exécution post-exploitation, demande à la fois des modèles de scan et des règles comportementales à jour. C'est ce que fournit le feed Nuclei ThreatClaw : des modèles priorisés sur l'exploitation réelle et alignés sur le catalogue KEV, pour identifier et traiter en priorité ce qui, dans votre parc, est réellement en danger.