ToolShell

Selon DataBreachToday.eu, une intrusion a visé le réseau de la Chambre des communes du Canada, compromettant une base sensible contenant des informations de localisation de bureaux et des données personnelles d’élus et d’employés. Un courriel interne obtenu par CBC News indique que la base contenait des informations utilisées pour gérer des ordinateurs et des mobiles, compromises via l’exploitation d’une vulnérabilité récente Microsoft. Le Bureau du Président (House of Commons) a déclaré travailler avec ses partenaires de sécurité nationale et n’a pas donné plus de détails pour des raisons de sécurité. ...

Selon Trustwave SpiderLabs, une campagne baptisée « ToolShell » cible massivement des serveurs Microsoft SharePoint on‑premises via une chaîne de quatre vulnérabilités, dont CVE-2025-49706 et CVE-2025-53770, permettant un contournement d’authentification puis une exécution de code à distance (RCE). Des acteurs étatiques chinois, notamment Linen Typhoon et Violet Typhoon, exploitent activement ces failles pour obtenir et maintenir un accès persistant. 🚨 Le point d’entrée consiste à exploiter CVE-2025-49706 au moyen de requêtes POST spécialement conçues vers /_layouts/{version}/ToolPane.aspx?DisplayMode=Edit, combinées à des en‑têtes Referer manipulés pour bypasser l’authentification. Les attaquants déploient ensuite des pages ASPX malveillantes (ex. spinstall0.aspx) afin d’extraire des clés cryptographiques SharePoint. ...

Eye Security a découvert une vulnérabilité 0-day critique dans SharePoint, identifiée comme CVE-2025-53770 et CVE-2025-53771, permettant une exécution de code à distance (RCE) sans authentification. Cette faille a été exploitée à grande échelle, compromettant plus de 400 systèmes à travers plusieurs vagues d’attaques. Les attaques ont commencé le 17 juillet 2025, avec une première vague détectée à partir de l’adresse IP 96.9.125[.]147. Les vagues suivantes ont été observées les 18, 19, et 21 juillet, avec des scripts d’exploitation publiés sur GitHub. Microsoft a publié des correctifs pour les versions vulnérables de SharePoint Server 2016/2019, mais les versions plus anciennes restent vulnérables. ...

L’article publié sur le site de Varonis décrit une chaîne d’exploit nommée ToolShell qui cible les serveurs SharePoint sur site. Cette attaque combine trois vulnérabilités (CVE-2025-49706, CVE-2025-53770, CVE-2025-49704) pour réaliser une exécution de code à distance sans authentification. Les versions de SharePoint 2016 et antérieures sont particulièrement vulnérables, bien que des correctifs soient disponibles pour les versions plus récentes. Le processus d’attaque implique l’envoi de requêtes HTTP spécialement conçues pour contourner l’authentification, l’utilisation d’une capacité d’écriture de fichier arbitraire pour déposer des web shells malveillants, et l’extraction de clés cryptographiques pour générer des charges utiles _VIEWSTATE valides. Ces charges utiles permettent des attaques de désérialisation conduisant à l’exécution de commandes PowerShell. ...

L’article publié par SentinelOne met en lumière une exploitation active de la vulnérabilité CVE-2025-53770, surnommée ‘ToolShell’, qui affecte les serveurs SharePoint sur site. Cette vulnérabilité est actuellement utilisée par des acteurs malveillants pour cibler des organisations de haute valeur dans les secteurs de la technologie, de la fabrication et des infrastructures critiques. L’exploitation de ‘ToolShell’ combine les vulnérabilités CVE-2025-49704 et CVE-2025-49706 pour obtenir une exécution de code à distance (RCE) non authentifiée via des requêtes POST spécialement conçues. Trois clusters d’attaques distincts ont été identifiés : ...

L’article publié par BleepingComputer informe que Microsoft a diffusé des mises à jour de sécurité d’urgence pour deux vulnérabilités zero-day critiques dans SharePoint. Ces vulnérabilités sont suivies sous les identifiants CVE-2025-53770 et CVE-2025-53771. Les failles ont été exploitées dans des attaques nommées ‘ToolShell’, affectant des services à l’échelle mondiale. Les détails techniques des vulnérabilités ne sont pas précisés dans l’article, mais leur exploitation pourrait avoir un impact significatif sur les infrastructures utilisant SharePoint. ...

L’article publié le 20 juillet 2025 met en lumière une vulnérabilité zero-day critique identifiée sous le code CVE-2025-53770, affectant Microsoft SharePoint Server. Cette vulnérabilité est activement exploitée à grande échelle et pourrait potentiellement toucher des milliers de serveurs accessibles publiquement. La faille permet une exécution de code à distance non authentifiée en permettant aux attaquants d’obtenir des détails de configuration MachineKey. Malgré la publication par Microsoft de directives d’atténuation, aucun correctif n’est actuellement disponible. Les organisations sont encouragées à mettre en œuvre les atténuations recommandées, notamment l’intégration AMSI et une surveillance accrue pour détecter des indicateurs de compromission tels que la création de fichiers ‘spinstall0.aspx’. ...