CVE-2025-49706

Chaîne « ToolShell » : exploitation active de SharePoint on‑prem pour contournement d’authentification et RCE par des acteurs chinois

Selon Trustwave SpiderLabs, une campagne baptisée « ToolShell » cible massivement des serveurs Microsoft SharePoint on‑premises via une chaîne de quatre vulnérabilités, dont CVE-2025-49706 et CVE-2025-53770, permettant un contournement d’authentification puis une exécution de code à distance (RCE). Des acteurs étatiques chinois, notamment Linen Typhoon et Violet Typhoon, exploitent activement ces failles pour obtenir et maintenir un accès persistant. 🚨 Le point d’entrée consiste à exploiter CVE-2025-49706 au moyen de requêtes POST spécialement conçues vers /_layouts/{version}/ToolPane.aspx?DisplayMode=Edit, combinées à des en‑têtes Referer manipulés pour bypasser l’authentification. Les attaquants déploient ensuite des pages ASPX malveillantes (ex. spinstall0.aspx) afin d’extraire des clés cryptographiques SharePoint. ...

Exploitation d'une vulnérabilité zero-day dans Microsoft SharePoint par des acteurs malveillants

Selon un article de The Register, une vulnérabilité zero-day a été exploitée dans Microsoft SharePoint, malgré les correctifs de sécurité publiés par Microsoft. Cette exploitation a été rendue possible par une fuite d’informations concernant les vulnérabilités, permettant à des acteurs malveillants, y compris des espions chinois et des opérateurs de ransomware, de contourner les correctifs. L’incident a débuté lors de la compétition Pwn2Own à Berlin, où un chercheur vietnamien a démontré une exploitation réussie de SharePoint, remportant 100 000 $. Microsoft a reçu un rapport détaillé de l’exploit, mais les vulnérabilités ont été divulguées avant que les correctifs ne soient pleinement efficaces. ...

Exploitation de vulnérabilités SharePoint par des acteurs chinois

L’article de Microsoft Security met en lumière l’exploitation active de vulnérabilités critiques dans les serveurs SharePoint sur site, identifiées comme CVE-2025-49706 et CVE-2025-49704, par des acteurs malveillants. Ces vulnérabilités permettent des attaques de spoofing et d’exécution de code à distance, affectant uniquement les serveurs SharePoint sur site et non SharePoint Online. Microsoft a publié des mises à jour de sécurité pour protéger contre ces vulnérabilités, mais avertit que des groupes d’acteurs étatiques chinois, notamment Linen Typhoon et Violet Typhoon, ainsi qu’un acteur nommé Storm-2603, exploitent activement ces failles pour déployer des ransomwares tels que Warlock. ...