SharePoint et SimpleHelp : deux CVE confirmées exploitées

Deux vulnérabilités sont désormais confirmées exploitées : une faille d’exécution de code dans Microsoft SharePoint Server et un contournement d’authentification dans SimpleHelp. La CISA les a ajoutées cette semaine à son catalogue Known Exploited Vulnerabilities (KEV), SharePoint le 1er juillet et SimpleHelp le 29 juin, et cette inscription est la preuve qui les place en tête d’une file de correctifs, quels que soient leurs scores de gravité.

Les deux méritent un examen attentif pour la même raison : leur exploitation est confirmée, et pourtant aucune ne porte le score EPSS très élevé que l’on pourrait attendre. Ce décalage résume tout l’argument en faveur d’une lecture de KEV comme signal à part entière.

Trois acronymes traversent ce digest. CVSS évalue à quel point une faille serait dommageable si quelqu’un l’exploitait, sur une échelle de 0 à 10. EPSS estime la probabilité qu’elle soit exploitée dans les 30 prochains jours, exprimée ici en pourcentage. KEV est le catalogue de la CISA des failles avec attaques réelles confirmées. Gravité et probabilité ne sont pas la même chose. La méthode complète est dans notre comparatif CVSS vs EPSS vs KEV.

Ce qui est désormais confirmé exploité cette semaine

Deux CVE sont passées dans la colonne confirmé exploité cette semaine. L’une touche une plateforme collaborative largement déployée ; l’autre un outil de support à distance qui, une fois détourné, donne à un attaquant un point d’appui sur chaque machine qu’il gère. Aucune ne porte un score EPSS supérieur à 4 %, et c’est précisément pourquoi c’est la preuve d’exploitation, pas le modèle, qui décide de l’ordre ici.

CVE-2026-45659 : Microsoft SharePoint Server

CVE-2026-45659 est une faille de désérialisation de données non fiables (CWE-502) dans Microsoft SharePoint Server. Un attaquant authentifié peut envoyer des données forgées que le serveur désérialise sans les valider, puis exécuter du code sur le réseau. L’exigence d’authentification abaisse le score brut, mais ne rend pas la faille inoffensive : un seul compte volé ou peu privilégié devient une voie vers l’exécution de code sur le serveur.

Score CVSS de base : 8,8 (Élevée). EPSS : 3,2 % (87e percentile). La CISA l’a ajoutée au KEV le 1er juillet 2026.

Un SharePoint sur site se trouve au centre des flux documentaires et de l’identité : un serveur compromis reste rarement cantonné au serveur. Appliquez la mise à jour Microsoft pour les versions concernées, puis vérifiez les journaux d’authentification et les privilèges des comptes sur le même hôte.

CVE-2026-48558 : SimpleHelp

CVE-2026-48558 est un contournement d’authentification (CWE-347, vérification incorrecte d’une signature cryptographique) dans le flux de connexion OIDC de SimpleHelp. Lorsque l’authentification OIDC est configurée, le serveur accepte les jetons d’identité sans vérifier leur signature : un attaquant distant et non authentifié peut donc forger un jeton portant des revendications d’identité arbitraires et obtenir une session de technicien pleinement authentifiée. Dans certaines configurations, cela contourne aussi l’authentification multifacteur, et aucune interaction utilisateur n’est requise. NVD indique comme concernées les versions 5.5.15 et antérieures, ainsi que les préversions 6.0.

Score CVSS de base : 10,0 (Critique). EPSS : 1,2 % (63e percentile). La CISA l’a ajoutée au KEV le 29 juin 2026. La métrique CVSS 4.0 de FIRST évalue la même faille à 9,5, également Critique.

Un logiciel de support à distance est un multiplicateur de force pour un attaquant : une session de technicien, c’est un accès distant permanent à chaque poste géré par la plateforme. Traitez une instance SimpleHelp exposée sur Internet et configurée en OIDC comme un correctif prioritaire, pas de routine.

Pourquoi les scores EPSS restent bas

Il est tentant de lire un score EPSS de 1,2 % ou 3,2 % comme “peu probable” et de repousser le correctif. Cette lecture ne tient pas ici. EPSS prévoit l’exploitation à partir de signaux publics : code d’exploitation, activité des scanners, échos des avis. Quand une faille vient d’être armée, ces signaux ne se sont pas encore accumulés, si bien que le score accuse un retard de plusieurs jours ou semaines sur la réalité. KEV comble cet écart en enregistrant directement l’exploitation confirmée.

La règle pratique découle de la chronologie. Utilisez EPSS pour classer les CVE qui ne sont pas encore au KEV. Une fois qu’une CVE est au KEV, son score EPSS n’est plus le facteur décisif : l’exploitation est déjà confirmée, et le correctif est dû.

Que changer dans votre file cette semaine

Trois actions concrètes pour la file de cette semaine :

1. Corrigez d’abord les deux entrées KEV. Appliquez la mise à jour SharePoint de Microsoft sur les serveurs concernés, et passez SimpleHelp au-delà de 5.5.15 (ou la version corrigée selon la mise à jour de sécurité de l’éditeur) sur toute instance configurée en OIDC. Classez-les avant les constats à CVSS plus élevé qui ne sont pas au KEV.
2. Vérifiez l’exposition avant la gravité. Un serveur SimpleHelp exposé sur Internet ou un SharePoint sur site atteignable depuis des réseaux non fiables, c’est une urgence différente du même logiciel derrière une segmentation. L’atteignabilité décide de la vitesse à laquelle tourne l’horloge.
3. Étiquetez les deux CVE avec leur statut KEV dans votre tracker. Si votre scanner n’exporte pas l’appartenance à KEV, récupérez le flux CISA et joignez sur l’ID CVE, pour qu’un score EPSS bas n’enterre jamais une faille confirmée exploitée.

La leçon se répète chaque semaine où paraissent ces digests : les CVE qui méritent la première heure d’ingénierie sont celles qui s’appuient sur une preuve d’exploitation, pas celles au plus gros score de gravité. Cette semaine, cela signifie SharePoint puis SimpleHelp, dans cet ordre d’empreinte, toutes deux avant le moindre avis CVSS-9 laissé de côté sur les marges de KEV.