CVE-2026-20963 SharePoint RCE Exploité : Alerte CISA KEV

CVE-2026-20963 est une vulnérabilité d'exécution de code à distance sans authentification affectant plusieurs versions de Microsoft SharePoint Server. Corrigée lors du Patch Tuesday de janvier 2026, elle avait été classée par Microsoft comme "peu probable d'être exploitée" — une évaluation rapidement contredite par les attaquants. Deux mois après la publication du patch, la faille est activement exploitée dans des campagnes réelles documentées. Elle repose sur une désérialisation de données non fiables dans le moteur de traitement des requêtes SharePoint : un attaquant non authentifié envoie une requête HTTP spécialement forgée et obtient une exécution de code arbitraire sur le serveur, sans aucune interaction des utilisateurs légitimes. La CISA a ajouté CVE-2026-20963 à son catalogue Known Exploited Vulnerabilities le 18 mars 2026, en imposant une deadline de remédiation au 21 mars pour toutes les agences fédérales américaines. Les serveurs SharePoint sont des cibles particulièrement attractives : ils hébergent des données stratégiques et servent souvent de passerelle vers l'ensemble du réseau d'entreprise, y compris les systèmes Active Directory, les partages de fichiers sensibles et les pipelines d'automatisation métier. Toute organisation maintenant un serveur SharePoint on-premise exposé à Internet sans patch appliqué doit traiter cette situation comme une urgence de niveau critique.

Les faits

Microsoft a publié le correctif de CVE-2026-20963 lors du Patch Tuesday de janvier 2026, accompagné d'une évaluation de risque "exploitation improbable". Cette classification a conduit de nombreuses équipes IT à déprioritiser ce patch face au volume mensuel de correctifs Microsoft — un comportement rationnel mais dont les conséquences sont désormais visibles. Dès mars 2026, des exploits fonctionnels sont observés en conditions réelles. Le 18 mars, la CISA a mis à jour son catalogue KEV pour y inclure CVE-2026-20963. Les versions affectées sont SharePoint Server Subscription Edition, SharePoint Server 2019 et SharePoint Enterprise Server 2016. SharePoint Online (Microsoft 365) n'est pas concerné, Microsoft gérant directement les mises à jour de ce service. Les détails techniques complets sont disponibles sur le Microsoft Security Response Center.

Impact et exposition

Les serveurs SharePoint on-premise sont omniprésents dans les grandes entreprises, administrations et collectivités. Une compromission via CVE-2026-20963 donne à l'attaquant un accès aux documents stratégiques, aux sites d'équipe, aux workflows métier et souvent aux identités Active Directory via l'intégration SharePoint. Le risque est amplifié par l'exposition fréquente des portails SharePoint sur Internet pour les accès distants. Dans le contexte d'une architecture Zero Trust, les serveurs SharePoint exposés sans couche de protection supplémentaire représentent un risque inacceptable. Un programme structuré de triage des vulnérabilités par criticité opérationnelle aurait dû remonter ce patch en priorité malgré la classification initiale de Microsoft. Les équipes maintenant un MFA résistant au phishing réduisent le rayon d'impact d'une compromission SharePoint mais ne se substituent pas au patch. Les signaux d'attaque observés sont similaires aux compromissions sans malware signalées par le CERT-FR.

Recommandations

• Appliquer immédiatement le patch Microsoft SharePoint de janvier 2026 — en priorité absolue sur les serveurs exposés à Internet
• Vérifier les journaux d'accès SharePoint pour toute activité suspecte depuis le 13 janvier 2026
• Restreindre l'exposition Internet des portails SharePoint via un reverse proxy authentifié ou un WAF
• Activer les alertes SIEM sur les patterns de requêtes SharePoint anormaux
• Intégrer les IOC disponibles via CISA KEV dans les outils de détection

Comment savoir si mon système est vulnérable à CVE-2026-20963 ?

Pour déterminer votre exposition, inventoriez toutes les instances de SharePoint Server dans votre environnement, y compris les versions utilisées. Comparez-les aux versions affectées dans l'avis officiel du fournisseur. Les outils de vulnerability scanning comme Tenable Nessus, Qualys ou OpenVAS proposent généralement des plugins de détection dans les 24-48h suivant la publication d'un CVE critique. Un scan ciblé sur le port et le service concerné permet de confirmer l'exposition.

Que faire si le patch ne peut pas être appliqué immédiatement ?

En cas d'impossibilité de patcher rapidement, plusieurs mesures de mitigation permettent de réduire le risque : isoler les systèmes vulnérables derrière un pare-feu applicatif (WAF), restreindre les accès réseau au strict nécessaire, désactiver les fonctionnalités exposées si possible, et renforcer la surveillance des logs pour détecter toute tentative d'exploitation. Un plan de patch d'urgence doit être déclenché dans les 72h suivant la confirmation de l'exploitation active.

Est-ce que CVE-2026-20963 est activement exploitée dans des attaques réelles ?

Oui — les preuves d'exploitation active ont été confirmées. Des groupes de ransomware et d'APT ont intégré ce vecteur dans leurs chaînes d'attaque. L'exploitation active signifie que le risque n'est plus théorique : toute organisation exposée doit traiter ce correctif comme une priorité absolue indépendamment de ses cycles de maintenance habituels. Consulter le catalogue CISA KEV pour suivre l'état d'exploitation confirmée.