Le mardi 10 novembre 2026, par Benjamin Lepeltier
SharePoint. L'outil sur lequel vos équipes partagent leurs documents, gèrent leurs projets, collaborent au quotidien. L'outil que votre DSI a déployé il y a quelques années, que tout le monde utilise sans vraiment y penser, et dont personne n'a vérifié les mises à jour de sécurité depuis la dernière réorganisation.
C'est exactement par là qu'entre Warlock.
Le groupe Warlock, exploite des vulnérabilités dans Microsoft SharePoint Server depuis mi-2025 pour déployer des ransomwares contre des organisations à travers le monde. Début octobre 2026, Symantec publie un nouveau rapport : Warlock est toujours actif, plus d'un an après ses premières attaques documentées, et il vise désormais des opérateurs d'eau et des télécoms. Les infrastructures critiques. Celles dont l'arrêt a des conséquences physiques sur des milliers de personnes.
Mais avant d'arriver aux infrastructures critiques, Warlock passe d'abord par des entreprises comme la vôtre.
La mécanique de l'attaque est précise et documentée. Warlock exploite des failles non corrigées dans des déploiements on-premises de Microsoft SharePoint Server. Ce détail est important : on parle de SharePoint installé dans votre propre infrastructure, pas de SharePoint Online hébergé dans le cloud Microsoft. Les serveurs que vous gérez vous-même, ceux sur lesquels votre équipe IT est responsable des mises à jour.
Lisez ça une deuxième fois. Deux heures pour désactiver la sécurité sur 40 machines. Puis la réplication normale du réseau d'entreprise, celle qui synchronise vos fichiers de configuration chaque matin, qui distribue le ransomware à la place. L'infrastructure de l'entreprise utilisée comme vecteur de propagation contre elle-même.
la technique d'exploitation, abuser de serveurs SharePoint non patchés pour obtenir un accès réseau, s'applique tout aussi bien à un cabinet médical de taille moyenne, un cabinet comptable ou toute PME faisant tourner un déploiement SharePoint on-premises.
L'activité de Warlock n'a pas diminué depuis 2025. Au contraire, le groupe applique les mêmes techniques d'accès SharePoint contre un ensemble de cibles plus large et aux enjeux plus élevés, plus d'un an après les premières divulgations. Ce qui signifie que les failles sont connues, que les correctifs existent, et que des milliers d'organisations n'ont toujours pas mis à jour leurs serveurs.
Le ransomware lui-même est un dérivé personnalisé du builder LockBit 3.0, dont le code source avait fuité en 2022. Pas d'outil révolutionnaire développé par un État. Du code volé, réutilisé, et déployé via une faille que votre équipe IT avait peut-être prévu de corriger au prochain sprint.
La réponse technique est simple à énoncer et parfois complexe à exécuter : patcher vos serveurs SharePoint on-premises en priorité, en traitant les CVE-2026-32201, CVE-2026-45659 et les autres références citées dans le rapport Symantec. Si une mise à jour est disponible et non appliquée, c'est une fenêtre ouverte.
Si vous n'avez pas de visibilité sur l'état de patch de vos serveurs SharePoint en ce moment, c'est la première question à poser à votre DSI ou à votre prestataire IT aujourd'hui, pas la semaine prochaine.
Et si vous êtes en train de vous demander si vous avez vraiment un SharePoint on-premises ou si tout est dans le cloud, c'est aussi une question qui mérite une réponse précise. SharePoint Online géré par Microsoft suit un cycle de mise à jour automatique que vous ne maîtrisez pas. Un serveur SharePoint installé dans votre datacenter ou chez votre hébergeur, c'est votre responsabilité.
Warlock n'est pas une menace abstraite réservée aux grandes infrastructures d'État. C'est un groupe actif depuis plus d'un an, qui exploite une vulnérabilité connue, dans un outil que des millions d'entreprises utilisent chaque jour, et qui continue de trouver des cibles parce que des serveurs non patchés existent encore partout.
L'attaque ne commence pas par un email de phishing suspect. Elle commence par une requête HTTP sur votre serveur SharePoint. Silencieuse, technique, efficace. Et dans les deux heures qui suivent, votre sécurité peut être désactivée sur 40 machines.
SharePoint doit figurer dans votre liste de priorités de sécurité. Pas comme un outil de collaboration. Comme une surface d'attaque.
Sources : The Hacker News · Symantec Threat Intelligence · Cyber-Securite.fr · Aviatrix · Bellator Cyber · TechJuice · Rankiteo Blog
