Un an après les zero-days SharePoint ToolShell, le groupe chinois Warlock — suivi comme Longlegs par Symantec — a frappé un service d’eau, un opérateur télécom, une administration régionale et une université, en désactivant la protection de 40 machines en deux heures. Corrigez vos SharePoint sur site, surveillez les chargements de pilotes BYOVD et chassez les indicateurs publiés par Symantec et Carbon Black.

Microsoft présentait CVE-2026-65660 comme un spoofing à CVSS 6,5 ; le chercheur Dinh Ho Anh Khoa démontre qu’il s’agit d’une injection de code (CWE-94) aboutissant à une exécution de code à distance authentifiée, et la CISA l’a ajoutée au KEV le 25 septembre 2026 après des attaques observées. Appliquez le correctif du 11 août et auditez vos serveurs SharePoint 2016, 2019 et Subscription Edition.

Le 11 août 2026, Rapid7 a publié l’analyse technique et le PoC de CVE-2026-55040, un contournement d’authentification SharePoint pourtant corrigé en juillet. Dès le 13 août, des attaquants utilisaient le PoC contre des honeypots : voici les quatre faiblesses de la chaîne de validation JWT et ce qu’il faut faire.