Ransomware Warlock via SharePoint : comment protéger ton serveur (octobre 2026)

En octobre 2026, le ransomware Warlock frappe des entreprises via une faille SharePoint restée ouverte plus d'un an après les premiers correctifs. Si tu administres un SharePoint sur site (2016, 2019 ou Subscription Edition), ce guide est pour toi : en 4 étapes concrètes, tu vérifies que ta remédiation est complète, tu neutralises les clés volées potentielles et tu chasses les traces d'exploitation. Pas de panique, mais pas d'aveuglement non plus.

Note d'emblée : cet article s'adresse aux administrateurs. Si tu utilises simplement SharePoint via Microsoft 365, tu peux souffler — la suite ne te concerne pas directement.

Warlock et SharePoint : ce qui se passe en octobre 2026

Le groupe de ransomware Warlock exploite la chaîne de failles connue sous le nom de ToolShell, qui touche SharePoint Server. Plusieurs secteurs d'activité ont été ciblés ces dernières semaines, et le mode opératoire montre une caractéristique inquiétante : les entreprises qui avaient fait une remédiation incomplète en 2025 restent exploitables plus d'un an après.

Le piège classique : en juillet 2025, seuls deux correctifs avaient été largement appliqués, alors que la chaîne ToolShell comporte quatre CVE. Les serveurs « patchés à moitié » sont restés ouverts. Warlock en profite aujourd'hui, avec une persistance rare pour une campagne de cette année.

Étape 1 : vérifie les correctifs (les 4 CVE, pas seulement ceux de juillet)

Ne suppose pas qu'un patch historique a tout fermé. Contrôle que les quatre CVE de la chaîne ToolShell ont bien leurs correctifs de sécurité installés — pas seulement la paire d'origine du 8 juillet.

1. Ouvre PowerShell en administrateur sur chaque serveur SharePoint.
2. Liste les correctifs SharePoint installés :
   Get-HotFix | Where-Object { $_.Description -match "SharePoint" } | Select-Object HotFixID, InstalledOn
3. Croise la liste avec les quatre CVE de la chaîne ToolShell (voir le bulletin de sécurité Microsoft en vigueur).
4. Si un correctif manque, installe-le depuis le catalogue Microsoft Update avant toute chose.

Répète cette vérification sur chaque serveur de la batterie : un seul serveur oublié suffit à rouvrir la porte.

Étape 2 : fais tourner les clés machine ASP.NET

C'est l'étape que beaucoup sautent, et c'est la plus importante. Si des attaquants ont exfiltré les clés machine ASP.NET de ta batterie SharePoint, ils peuvent forger des jetons valides même après patch. La rotation des clés invalide tout ce qu'ils ont volé.

1. Sur chaque serveur SharePoint, exécute en PowerShell :
   Update-SPMachineKey
2. Une fois la rotation faite sur tous les serveurs, redémarre IIS pour forcer la prise en compte des nouvelles clés :
   iisreset
3. Vérifie que les services SharePoint redémarrent proprement et que les utilisateurs peuvent se reconnecter.

Planifie cette opération hors heures ouvrées : le redémarrage d'IIS coupe brièvement l'accès aux sites SharePoint. Préviens les utilisateurs, et garde une fenêtre de rollback sous la main.

Étape 3 : redémarre IIS et chasse les traces d'exploitation

Un serveur patché et « re-clé » n'est pas forcément un serveur sain. Cherche les traces d'une exploitation passée dans les journaux :

1. Ouvre les journaux IIS et recherche des comportements anormaux du processus w3wp.exe (le pool d'applications SharePoint).
2. La signature forensique la plus caractéristique de l'exploitation ToolShell : des processus enfants inattendus lancés depuis le pool d'applications SharePoint.
3. Si tu as Sysmon déployé, chasse l'événement 1 filtré sur w3wp.exe :
   Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" | Where-Object { $_.Message -match "w3wp.exe" -and $_.Id -eq 1 } | Select-Object TimeCreated, Message
4. Croise avec ta solution EDR : aucune signature publique spécifique à la vague d'octobre 2026 n'a été publiée, appuie-toi sur tes propres requêtes de threat hunting.

Si tu trouves des processus enfants suspects, ne te contente pas de les tuer : isole le serveur, préserve les journaux, et passe à la section suivante.

Et pense aux fondamentaux : des sauvegardes SharePoint testées et isolées restent ta meilleure assurance. Si tu as déjà vécu un nettoyage post-compromission, tu sais que la méthode de nettoyage après piratage suit la même logique : isoler, éradiquer, restaurer proprement.

Quand appeler un expert sécurité

La remédiation ci-dessus est à ta portée si tu administres SharePoint au quotidien. Mais fais appel à un prestataire de réponse à incident dans ces cas :

• tu trouves des traces d'exploitation (processus enfants suspects, journaux altérés, fichiers inconnus) ;
• des données ont pu être exfiltrées — un ransomware, c'est aussi une fuite de données potentielle, avec des obligations légales ;
• ta batterie SharePoint est critique pour l'activité et tu ne peux pas te permettre d'erreur de manipulation ;
• tu n'as pas de sauvegardes testées et isolées pour restaurer en confiance.

Dans le doute, un audit externe coûte toujours moins cher qu'un chiffrement complet suivi d'une double extorsion.