SharePoint CVE-2026-65660 au CISA KEV : injection de code par un attaquant authentifié

Le 25 septembre 2026, la CISA a ajouté CVE-2026-65660 à son catalogue KEV : une injection de code dans Microsoft SharePoint, exploitable à distance par un attaquant authentifié. L'échéance de remédiation était fixée au 28 septembre — elle est déjà passée.

NVD n'a pas encore publié de score, de vecteur ni de versions à la date de rédaction. Je m'appuie uniquement sur la fiche CISA. Les éditions concernées et les mises à jour à appliquer sont à prendre dans le guide de mise à jour de sécurité Microsoft (MSRC) pour cette CVE.

Ce que dit la CISA

Microsoft SharePoint contains a code injection vulnerability which could allow an authorized attacker to execute code over a network.

Deux mots portent tout le poids : authorized et execute code. Il faut un compte, et ce compte permet ensuite d'exécuter du code sur le serveur SharePoint.

« Authentifié » ne veut pas dire « peu risqué »

Le réflexe est de déprioriser une faille qui exige un compte. Sur SharePoint, c'est une erreur, pour trois raisons.

Les comptes sont nombreux. Un SharePoint d'entreprise est ouvert à tous les salariés, souvent à des prestataires et à des invités externes. Chaque compte est un point de départ possible, et un seul identifiant hameçonné suffit.

Le serveur est un concentrateur. Exécuter du code sur un serveur SharePoint, c'est accéder au compte de service de la ferme, aux bases de contenu, aux clés machine utilisées pour signer les données d'état, et souvent à des comptes avec des droits étendus dans l'Active Directory.

SharePoint se chaîne. En juillet, quatre CVE SharePoint sont entrées au KEV en trois semaines, dont un contournement d'authentification : une faille « authentifiée » devient non authentifiée dès qu'elle se combine à une autre. C'est le schéma que nous décrivions dans notre analyse de la vague de juillet. Je n'affirme pas que CVE-2026-65660 fait partie d'une telle chaîne : la CISA ne le dit pas. Mais c'est le scénario à ne pas exclure.

Et l'inscription au KEV signifie que l'exploitation est constatée, pas théorique.

Versions

Rien côté NVD à la date de rédaction. Je ne vais pas inventer de numéro de build. Pour chaque serveur de la ferme :

• relève la version de build installée (Administration centrale ou PowerShell SharePoint)
• compare-la au build corrigé indiqué par Microsoft pour CVE-2026-65660 et pour ton édition
• vérifie que l'assistant de configuration a bien été exécuté après l'installation du correctif : un binaire à jour avec une base non mise à niveau laisse la ferme dans un état incohérent

SharePoint Online est géré par Microsoft ; la question se pose pour les déploiements on-premises.

Détection

• Processus enfants inattendus du pool d'applications IIS de SharePoint (w3wp.exe) : interpréteurs de commandes, PowerShell, outils réseau
• Fichiers récemment créés dans les répertoires LAYOUTS et dans les dossiers web des sites, hors déploiement de solution documenté
• Activité inhabituelle d'un compte utilisateur : accès à des pages d'administration ou à des fonctionnalités qu'il n'utilise jamais, juste avant une anomalie côté serveur
• Utilisation du compte de service de la ferme depuis une autre machine que les serveurs SharePoint

Mitigation

1. Appliquer la mise à jour de sécurité Microsoft qui corrige CVE-2026-65660 sur tous les serveurs de la ferme, puis exécuter l'assistant de configuration. L'échéance CISA est dépassée : c'est à traiter maintenant.
2. Ne pas exposer SharePoint on-premises directement à Internet. Si l'accès externe est nécessaire, passer par un reverse proxy authentifiant ou un VPN.
3. Revoir les accès externes et invités : supprimer ceux qui ne servent plus réduit le nombre de comptes de départ possibles.
4. Vérifier que l'intégration AMSI est active, si ton édition la prend en charge, et que l'antivirus des serveurs est à jour.
5. En cas de compromission : faire tourner les clés machine ASP.NET de la ferme et les identifiants du compte de service. Corriger sans faire tourner les clés laisse à l'attaquant ce qu'il a déjà volé.

Pourquoi surveiller en continu vos fermes SharePoint

SharePoint revient au KEV mois après mois, souvent avec des échéances à trois jours et sans données NVD au moment où il faut agir. La seule information qui permet de réagir à temps, c'est le build exact de chaque serveur.

Avec cveo.tech, inventorie tes serveurs SharePoint avec leur version, et reçois une alerte dès qu'une CVE au CISA KEV les concerne.