Des centaines d’organisations à travers le monde ont subi des violations de données cette semaine, alors qu’un éventail de pirates se précipitait pour exploiter une vulnérabilité récemment découverte dans les versions plus anciennes de l’outil de partage de fichiers Microsoft connu sous le nom de SharePoint. La chaîne de violations ajoute à une dynamique déjà urgente et complexe: les institutions qui sont des utilisateurs de SharePoint de longue date peuvent faire face à un risque accru en continuant à utiliser le service, tout comme Microsoft supprime le support pour une plate-forme en faveur de nouvelles offres de cloud.
Microsoft a déclaré mardi qu’en plus d’autres acteurs, il a vu plusieurs groupes de piratage liés à la Chine exploitant le défaut, qui est spécifiquement présent dans les versions plus anciennes de SharePoint qui sont auto-hébergées par des organisations. Cela n’a pas d’impact sur la version plus récente et basée sur le cloud de SharePoint que Microsoft encourage les clients à adopter depuis de nombreuses années. Bloomberg a rapporté mercredi pour la première fois que l’une des victimes est la National Nuclear Security Administration des États-Unis, qui supervise et maintient les armes nucléaires américaines.
Les «serveurs SharePoint auto-traités» ou autogérés sont une cible populaire pour les pirates, car les organisations les ont souvent configurées de telle sorte qu’elles soient exposées sur Internet ouvert et les oublient ou ne veulent pas allouer le budget pour les remplacer. Même si des correctifs sont disponibles, le propriétaire peut négliger de les appliquer. Ce n’est pas le cas, cependant, avec le bug qui a déclenché la vague d’attaques de cette semaine. Bien qu’il se rapporte à une précédente vulnérabilité SharePoint découverte lors du concours de piratage de PWN2own à Berlin en mai, le patch que Microsoft a publié plus tôt ce mois-ci était lui-même défectueux, ce qui signifie que même des organisations qui ont fait leur diligence de sécurité ont été prises. Microsoft s’est précipité cette semaine pour publier un correctif pour le correctif, ou ce que la société a qualifié de «protections plus robustes» dans son alerte de sécurité.
« Chez Microsoft, notre engagement – ancré dans la Secure Future Initiative – est de rencontrer des clients où ils se trouvent », a déclaré un porte-parole de Microsoft dans un communiqué envoyé par e-mail. «Cela signifie soutenir les organisations à travers le spectre complet de l’adoption du cloud, y compris ceux qui géraient les systèmes locaux.»
Microsoft prend toujours en charge les versions SharePoint Server 2016 et 2019 avec des mises à jour de sécurité et d’autres correctifs, mais les deux atteindront ce que Microsoft appelle la «fin de la prise en charge» le 14 juillet 2026. SharePoint Server 2013 et plus tôt ont déjà atteint la fin de vie et ne reçoivent que les mises à jour les plus critiques via un service payant appelé «SharePoint Server Abcription Edition». En conséquence, toutes les versions de serveur SharePoint font de plus en plus partie d’un rythme de rétro-chaussant numérique où la commodité de continuer à exécuter le logiciel comporte un risque important et une exposition potentielle pour les utilisateurs, en particulier lorsque les serveurs SharePoint sont exposés sur Internet.
«Il y a des années, Microsoft a positionné SharePoint comme un remplacement plus sécurisé pour les outils de partage de fichiers Windows à l’ancienne, c’est pourquoi des organisations comme les agences gouvernementales ont investi dans la création de ces serveurs. Et maintenant, ils ne font pas de coût supplémentaire, par rapport à un abonnement Microsoft365 dans le cloud qui implique une sous-conception», a déclaré Jake Williams, un répondeur incident de longue date qui est vice-président de la recherche et du développement chez Hunter Strategy. « Donc, Microsoft essaie de pousser les retenus en facturant un support prolongé. Mais si vous exposez un serveur SharePoint à Internet, je soulignerais que vous devez également budgétiser la réponse des incidents, car ce serveur sera finalement écarté. »