Alerte cybersécurité : Vulnérabilités critiques dans Microsoft SharePoint
Dans le cadre de la procédure AlerteCyber, le MEDEF nous transmet l'alerte ci-dessous, élaborée par Cybermalveillance.gouv.fr et l'ANSSI, concernant deux failles de sécurité critiques dans Microsoft SharePoint, immatriculées CVE-2025-53770 (score CVSS 9,8/10) et CVE-2025-53771 (score CVSS 6,5/10).
Seules les organisations qui hébergent leur instance SharePoint sont concernées.
Date de l'alerte : 23/07/2025
Risques
Espionnage, vol, voire destruction de vos données suite à la prise de contrôle à distance de vos équipements concernés.
Description
Deux failles de sécurité critiques ont été corrigées dans Microsoft SharePoint.
L’exploitation de ces vulnérabilités par une personne malveillante peut lui permettre la prise de contrôle à distance des équipements concernés et l’espionnage, le vol, voire la destruction, d’informations confidentielles.
Ces failles de sécurité sont activement exploitées par des cyber-attaquants contre les systèmes vulnérables.
Microsoft a publié des mises à jour qui corrigent ces vulnérabilités et protègent de leur exploitation.
Systèmes concernés
- Microsoft SharePoint Enterprise Server 2010, toutes versions
- Microsoft SharePoint Enterprise Server 2013, toutes versions
- Microsoft SharePoint Enterprise Server 2016, versions antérieures à 16.0.5513.1001
- Microsoft SharePoint Server 2019, versions antérieures à 16.0.10417.20037
- Microsoft SharePoint Server Subscription Edition, versions antérieures à 16.0.18526.20508.
Notes :
- Microsoft SharePoint Online dans Microsoft 365 n’est pas affecté par ces vulnérabilités.
- Les anciennes versions de SharePoint en fin de support (SharePoint 2013 / SharePoint 2010) restent vulnérables, et aucun correctif n’est prévu par Microsoft.
Mesures à prendre
Mettre à jour au plus vite les logiciels concernés avec les correctifs de sécurité mis à disposition par l’éditeur.
En l’absence de mises à jour, déconnecter ou filtrer les accès aux instances des SharePoint concernées.
En tant que de besoin, se référer au bulletin de sécurité de l’ANSSI afin de prendre connaissance de l’ensemble des mesures à mettre en œuvre (Cf. Références).
Procédure
Se référer aux bulletins de sécurité de l’éditeur pour obtenir les correctifs :
- Pour la CVE-2025-53770 : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53770
- Pour la CVE-2025-53771 : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53771
Besoin d'assistance ?
Vous pouvez contacter le CERT-FR de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) au +33 (0)9 70 83 32 18 ou 32 18 ou par mel : cert-fr@ssi.gouv.fr.
Référence(s)
- ANSSI / CERT-FR : CERTFR-2025-ALE-010/
- CVE-2025-53770
- CVE-2025-53771
Aller plus loin avec Cybermalveillance.gouv.fr :
Pourquoi et comment bien gérer ses mises à jour ?
