Ce que l'on sait sur la faille de sécurité critique dans Microsoft SharePoint

A la Une

Une vulnérabilité critique affectant Microsoft SharePoint, la plateforme collaborative et de gestion de contenus, est activement exploitée depuis le 18 juillet 2025. Référencée sous le nom CVE-2025-53770, cette faille de type zero-day permet à un attaquant non authentifié de prendre le contrôle total d’un serveur exposé sur Internet, sans identifiants. Elle touche uniquement les versions on-premise : SharePoint Server 2016, 2019 et Subscription Edition. Les versions cloud comme SharePoint Online ne sont pas concernées.

Microsoft a confirmé l’existence de cette vulnérabilité dans un bulletin de sécurité publié le 22 juillet 2025, précisant qu’un correctif est désormais disponible pour certaines éditions. Toutefois, des chercheurs en cybersécurité alertent sur la persistance des compromissions, même après l'application des correctifs, dans les cas où les attaquants ont déjà déployé des portes dérobées ou obtenu des accès persistants.

Ce sont des hackers affiliés à la Chine qui sont pointés du doigt par Microsoft. Ils auraient réussi à exploiter cette faille dans près de 400 entités publiques et privées, d'après l'entreprise néerlandaise Eye Security. La majorité des victimes se trouverait aux Etats-Unis. L'agence de presse Bloomberg affirme que l'agence américaine chargée de superviser les armes nucléaires serait parmi les victimes. 

Microsoft, déjà critiqué par le passé pour sa gestion d’incidents de cybersécurité majeurs, pourrait de nouveau faire face à des remises en cause, d’autant que la liste des victimes de cette faille SharePoint pourrait encore s’allonger au fil des enquêtes.

L'essentiel à savoir 

Oui, Microsoft peut transmettre les données des Français aux États-Unis… et ce n’est pas nouveau. Devant une commission d'enquête sénatoriale, des représentants de Microsoft ont rappelé qu'en cas de demande fondée, des données pourraient être transmises aux autorités américaines, dans le cadre du Health Data Hub. Un aveu pour certains, une simple confirmation pour d'autres : ce risque est connu depuis l'adoption du CLOUD Act. Cette déclaration a eu pour effet de raviver des inquiétudes concernant la protection des données de santé des Français. 

Agoria Santé obtient le feu vert pour croiser données biologiques et données de santé. Pour la première fois, la Cnil a autorisé l'association de données issues d'analyses biologiques avec celles du Système national des données de santé. Porté par le consortium Agoria Santé en partenariat avec Biogroup, ce projet vise à créer des bases de données enrichies, mobilisables dans plusieurs programmes scientifiques d'intérêt public, tout en respectant la protection des données.

Sous la pression de Washington, Londres pourrait renoncer à imposer une porte dérobée à Apple. Après avoir exigé un accès aux données chiffrées des utilisateurs d'iCloud, le gouvernement britannique serait sur le point d'abandonner son bras de fer avec la firme à la pomme. Ce revirement ne sera pas le fruit d'une décision de justice, mais le résultat de fortes pressions américaines. 

Singapour cible d’une cyberattaque d’ampleur attribuée à un groupe lié à la Chine. Le pays fait actuellement face à une campagne de cyberattaques d'ampleur visant des infrastructures critiques menée par un groupe de hackers identifié comme "UNC3886". Pointée du doigt, la Chine rejette fermement toute accusation. 

Le Royaume-Uni sanctionne 18 espions et hackers russes actifs en Europe. Dans un communiqué de presse, le secrétaire d'Etat aux affaires étrangères, du Commonwealth et du développement du Royaume-Uni a fait savoir que ces "espions du GRU mènent une campagne visant à déstabiliser l'Europe, à saper la souveraineté de l'Ukraine et à menacer la sécurité des citoyens britanniques".

Alerte cyber : La fuite de données de la semaine 

Les données personnelles de 340 000 demandeurs d'emploi ont été consultées par des hackers. France Travail, successeur de Pôle Emploi, a été de nouveau victime d'une attaque informatique. Au total, les données de 340 000 demandeurs d'emploi ont été consultées. Les informations compromises concernent les noms, prénoms, adresses postales et électroniques, numéros de téléphone, identifiants France Travail. Les données bancaires et les mots de passe n'ont pas été touchés, promet l'organisme. 

La levée de fonds de la semaine

Empirical Security a levé 12 millions de dollars (environ 10,2 millions d'euros)pour développer sa plateforme dédiée à la gestion des vulnérabilités assistée par l'IA. Le tour de table a été mené par Costanoa Ventures, avec la participation de DNX Ventures, Sixty Degree Capital, HPA et des business angels, tels que Jonathan Cran, fondateur d'Intrigue, racheté par Mandiant (propriété de Google).

L'entreprise propose une plateforme offrant un modèle global, entraîné sur près de deux millions d'événements d'exploitation par jour, qui anticipe les menaces émergentes ainsi que des modèles locaux personnalisés, adaptés à l'infrastructure et aux données propres de chaque client. Ces derniers permettent une priorisation des vulnérabilités. 

Le focus réglementaire et conformité 

Comment savoir si un modèle d'IA est soumis au RGPD ? C'est la question à laquelle répond dans une nouvelle fiche adressée aux fournisseurs de modèles d'IA. L'objectif principal est de vérifier si le modèle a mémorisé ou conservé des données personnelles, au sens du RGPD, issues de son corpus d'entraînement. L'organisme préconise notamment de mener des tests d'attaque de réidentification. 

Le coin opérationnel 

Comment l’IA redéfinit la détection des cybermenaces. Alors que les entités du public comme du privé font face à une intensification des cybermenaces, l'Agence nationale de la sécurité des systèmes d'information a publié une étude sur l'usage de l'IA dans les outils de détection et de réponse aux incidents. 18 éditeurs ont été audités en distinguant les approches prédictives et celles génératives. 

L'étude montre que la quasi-totalité des éditeurs interrogés développent leurs propres modèles d'IA prédictive en s'appuyant sur des librairies open source. En revanche, les modèles d'IA générative reposent en grande partie sur les grands modèles de fondation fournis par des acteurs comme OpenAI à l'origine de ChatGPT, Google avec Gemini et Microsoft avec Copilot.

L'Agence cyber propose plusieurs pistes à explorer : le financement des projets innovants, l'anticipation de l'apport de l'IA sur d'autres segments de la sécurité informatique ainsi que l'identification des bons leviers d'action pour accompagner l'offre.