ToolShell : l’alerte critique autour des vulnérabilités SharePoint CVE-2025-53770 & CVE-2025-53771

Un nouvel épisode dans la série des attaques sur SharePoint

Depuis juillet 2025, deux vulnérabilités critiques affectant Microsoft SharePoint Server (CVE-2025-53770 et CVE-2025-53771) sont activement exploitées. Déjà surnommées ToolShell par la communauté, elles illustrent à quel point les environnements collaboratifs restent une cible de choix pour les attaquants.

Détails techniques : ce que révèlent les CVE

CVE-2025-53770 (RCE) : permet l’exécution de code arbitraire à distance via un défaut de validation des entrées dans certains services SharePoint. Gravité : 9.8 (CVSS v3.1).

CVE-2025-53771 (Privilege Escalation) : exploitable après compromission initiale, elle permet une élévation de privilèges jusqu’à l’administrateur du serveur SharePoint. Gravité : 8.8 (CVSS v3.1).

La chaîne d’attaque classique suit ce schéma :

1. Accès initial via la faille RCE (53770),
2. Élévation de privilèges (53771),
3. Déploiement d’un web shell chiffré (d’où le nom ToolShell),
4. Persistance et mouvements latéraux vers d’autres systèmes connectés à SharePoint.

Ces techniques s’inscrivent dans le cadre MITRE ATT&CK :

• T1190 Exploit Public-Facing Application,
• T1068 Exploitation for Privilege Escalation,
• T1505 Web Shell.

Pourquoi cette campagne inquiète

Ciblage large : administrations publiques, universités, opérateurs de télécommunications et secteur de l’énergie ont déjà été touchés (source).

Persistance forte : les web shells installés sont difficiles à détecter car ils exploitent des clés de chiffrement légitimes de SharePoint.

Complexité de mitigation : même après correctif, les implants déjà déployés ne disparaissent pas.

Recommandations officielles

Microsoft préconise :

• Installation immédiate des correctifs publiés le 22 juillet 2025,
• Rotation des clés MachineKey pour invalider les web shells existants,
• Activation renforcée d’AMSI (Antimalware Scan Interface) pour intercepter les scripts malveillants,
• Audit des logs IIS/SharePoint afin de repérer des anomalies post-exploitation.

Regards MSSP / SOC : où intervenir ?

Pour un SOC Hybride comme ceux proposés par BECYCURE, ces vulnérabilités sont l’occasion de rappeler l’importance d’une approche multi-couches :

• SIEM (ex : QRadar, LogPoint, Splunk) : corrélation d’événements IIS, SharePoint et annuaires AD pour identifier les séquences RCE → EoP.
• EDR/XDR : détection des web shells déposés et des tentatives de mouvements latéraux.
• SOAR : automatisation de la réponse, par exemple la mise en quarantaine des hôtes vulnérables et la notification en temps réel des équipes IT.
• ASM (Attack Surface Management) : recensement en continu des instances SharePoint exposées, souvent sous-estimées par les organisations.
• CTI (Cyber Threat Intelligence) : intégration des IoCs (indicators of compromise) liés à ToolShell pour renforcer la chasse proactive.

Un équilibre entre urgence et recul

Il est tentant de voir dans ToolShell « la nouvelle vulnérabilité critique du mois », mais le contexte montre autre chose :

• SharePoint avait déjà été ciblé en 2023-2024 par des campagnes similaires.
• L’exploitation active prouve que les attaquants savent exploiter les délais de patching des grandes organisations.
• La gravité tient autant à la nature des failles qu’à la lenteur des processus de mise à jour dans des environnements sensibles (universités, hôpitaux, collectivités).

ToolShell n’est pas seulement une faille technique : c’est un cas d’école sur l’importance de la surveillance continue et de l’intégration SOC à 360°.
Les MSSP qui gèrent des environnements complexes doivent être capables de :

• réagir vite (patch & mitigation),
• mais aussi anticiper grâce au CTI et à l’ASM,
• et orchestrer une détection post-exploit fiable, car l’attaque ne s’arrête pas avec l’application d’un correctif.

Chez BECYCURE, nous voyons dans ToolShell la confirmation que le rôle d’un SOC moderne ne se limite plus à « surveiller », mais bien à détecter, orchestrer et accompagner les organisations dans la résilience face à des campagnes sophistiquées.