SharePoint Server zero-day exploité activement : la CISA alerte sur le vol de clés IIS pour survivre aux patches

Des attaquants exploitent activement des failles dans SharePoint Server on-premises pour obtenir des droits Farm Administrator, et volent les clés de machine IIS pour maintenir leur accès même après l'application d'un correctif.

Ce qui se passe

La CISA (Cybersecurity and Infrastructure Security Agency) a émis une alerte sur l'exploitation active de vulnérabilités dans SharePoint Server on-premises - les installations locales, pas SharePoint Online (Microsoft 365). Les attaquants ciblent des CVE permettant d'obtenir des droits Farm Administrator, le niveau d'accès le plus élevé sur une ferme SharePoint.

La particularité documentée de cette campagne : les attaquants volent les clés de machine IIS (Internet Information Services) pour garantir leur persistance. Ces clés permettent de déchiffrer les tokens d'authentification Windows et de forger de nouveaux tokens valides - ce qui signifie que l'attaquant peut survivre à l'application d'un patch si les clés ne sont pas régénérées après la remédiation.

Qui est impacté

SharePoint Server on-premises uniquement. Sont exposées : les grandes entreprises, administrations et institutions qui maintiennent leur propre ferme SharePoint sans avoir migré vers Microsoft 365.

Faits vs analyse

Faits :

• Exploitation active confirmée par la CISA
• Vecteur : CVE ciblant l'escalade vers Farm Admin sur SharePoint on-premises
• Technique de persistance documentée : vol des clés de machine IIS

Analyse : La technique de vol des clés IIS est particulièrement sournoise. Appliquer le patch ne suffit pas à expulser un attaquant qui les a déjà volées : il peut continuer à forger des tokens valides tant que les clés ne sont pas régénérées. C'est une persistance qui peut rester active des semaines après la remédiation si ce point est oublié.