SharePoint hors support et déjà attaqué : la fenêtre s'est refermée

21 juillet 2026 · 4 min de lecture · SOVALYX Technologies

Le 14 juillet 2026, Microsoft a publié le plus gros lot de correctifs de son histoire. Le même jour, SharePoint Server 2016 et 2019 sont sortis du support étendu — alors que des failles SharePoint sont activement exploitées. Les organisations restées sur ces versions cumulent désormais une attaque en cours et l'absence définitive de correctifs.

Deux échéances qui tombent le même jour

Les dates de fin de support figurent noir sur blanc dans le cycle de vie Microsoft : le support étendu de SharePoint Server 2016 et de SharePoint Server 2019 s'est achevé le 14 juillet 2026. Il n'y aura pas de prolongation payante comme pour Windows : après cette date, une faille découverte sur ces versions reste ouverte indéfiniment.

Le même jour, la CISA a alerté sur l'exploitation active de plusieurs vulnérabilités visant SharePoint Server installé sur site. Trois d'entre elles étaient déjà exploitées à cette date, dont CVE-2026-45659, une exécution de code à distance par désérialisation notée 8.8, corrigée hors cycle fin mai 2026 et inscrite dès le 1er juillet au catalogue des vulnérabilités activement exploitées de l'agence américaine. Une quatrième, CVE-2026-58644 — exécution de code à distance sans authentification, notée 9.8 — a été confirmée exploitée le lendemain et ajoutée au catalogue le 16 juillet.

À ce stade, ni la CISA ni Microsoft n'ont attribué ces attaques à un acteur identifié. C'est une précision qui a son importance : l'absence d'attribution ne veut pas dire absence de risque, elle veut dire que l'on ne sait pas encore qui frappe ni pourquoi.

Le détail qui devrait faire réfléchir toute direction

La vulnérabilité CVE-2026-45659 raconte à elle seule un mécanisme mal compris. Microsoft l'avait initialement classée comme peu susceptible d'être exploitée. Elle a été corrigée fin mai. Elle a été confirmée exploitée début juillet. Entre les deux, cinq semaines pendant lesquelles les organisations qui avaient lu « exploitation peu probable » et remis la mise à jour à plus tard étaient exposées sans le savoir.

La leçon est simple à formuler et difficile à appliquer : une notation éditeur est une estimation à un instant donné, pas une autorisation de différer. Le seul rythme défendable est celui d'un cycle de correctifs planifié, où la question n'est pas « est-ce urgent ? » mais « quand passe-t-on, et qui vérifie que c'est passé ? ».

Un volume de correctifs qui ne redescendra pas

Le lot de juillet donne le vertige : selon le décompte de la Zero Day Initiative, 621 vulnérabilités corrigées, dont 63 critiques — un record, et un chiffre qui exclut déjà les quelque 480 correctifs Chromium et Edge du mois. Les décomptes varient selon les périmètres retenus par chaque analyste, mais l'ordre de grandeur ne fait pas débat.

Trois vulnérabilités étaient des failles de type « jour zéro » : deux activement exploitées — une élévation de privilèges SharePoint et une élévation de privilèges sur les services de fédération Active Directory — et une divulguée publiquement sans exploitation constatée, un contournement de BitLocker nécessitant un accès physique à la machine.

Surtout, Microsoft prévient que le volume va rester élevé : l'éditeur attribue cette inflation à la mise en service d'un système de découverte de vulnérabilités assisté par IA. Autrement dit, ce n'est pas un pic exceptionnel, c'est le nouveau régime. Aucune organisation ne traite plusieurs centaines de correctifs mensuels avec une méthode artisanale — c'est précisément ce qui rend un processus outillé et contractualisé incontournable, y compris pour une structure de taille modeste.

Si vous êtes sur une version hors support

La règle est brutale mais claire : un SharePoint 2016 ou 2019 accessible depuis Internet doit être considéré comme compromis à terme, pas comme à risque. Il n'existe pas de configuration qui compense l'absence définitive de correctifs sur une plateforme activement ciblée.

Trois trajectoires possibles, par ordre de préférence : migrer vers une version supportée ou vers le service en ligne ; à défaut, retirer immédiatement l'exposition Internet et ne laisser l'accès que par réseau privé virtuel avec authentification multifacteur ; en dernier recours, isoler le serveur et planifier son remplacement avec une date écrite. Cette logique est la même que celle qui s'applique au parc Windows en fin de vie : l'obsolescence n'est pas un problème technique, c'est une décision budgétaire qu'on a repoussée.

Et puisque l'exécution de code à distance ouvre la porte au chiffrement de vos données, vérifiez la dernière ligne : des sauvegardes immuables dont la restauration a été testée et chronométrée.

Plan d'action pour les dix prochains jours

• Inventorier : avez-vous un SharePoint sur site, en quelle version, et est-il joignable depuis Internet ?
• Appliquer les correctifs de juillet sur les versions encore supportées, sans attendre la fenêtre de maintenance habituelle.
• Couper l'exposition Internet de toute instance hors support, aujourd'hui plutôt que demain.
• Chercher des traces de post-exploitation : comptes créés, tâches planifiées, fichiers déposés dans les répertoires web.
• Étendre l'inventaire aux autres logiciels hors support du parc — il y en a presque toujours d'autres.
• Fixer une date de sortie écrite et budgétée pour chaque système hors support identifié.
• Formaliser le cycle de correctifs : fréquence, responsable, délai maximal pour les failles exploitées, preuve d'application.
• Tester une restauration complète et noter le temps réel obtenu.
• Faire vérifier l'exposition de votre parc par un regard extérieur si personne n'en a la charge en interne.

🧰 L'outil qui va avec : Votre sauvegarde survivrait-elle à un ransomware ? — gratuit · 2 minutes.

Relu et optimisé par IA.