FalconFlank: PoC für Privilegieneskalation in CrowdStrike Falcon veröffentlicht

Der Mechanismus zur Makro-Remediation wird zur Angriffsfläche

Ein unter dem Namen Chaotic Eclipse bekannter Forscher, der auch unter den Aliasen INFINITE NIGHTMARE, MSNightmare und Nightmare-Eclipse aktiv ist, hat vor Kurzem FalconFlank veröffentlicht – einen Proof of Concept für eine mögliche lokale Privilegieneskalation in CrowdStrike Falcon.

Die Veröffentlichung wurde am 3. September 2026 entdeckt; das genaue Datum der Codeveröffentlichung ist jedoch nicht bekannt.

Das Problem soll in dem Mechanismus liegen, mit dem der CrowdStrike Falcon Sensor die Remediation als schädlich eingestufter Office-Makros durchführt. Diese Funktionen laufen normalerweise mit erhöhten Berechtigungen, die erforderlich sind, um auf Dateien, Prozesse und andere geschützte Systemressourcen zuzugreifen. FalconFlank soll versuchen, diesen Ablauf umzuleiten und in eine für die Privilegieneskalation nutzbare Primitive zu verwandeln.

Der Angriffsvektor ist lokal. Das bedeutet, dass der PoC allein keine Methode beschreibt, um einen von Falcon geschützten Rechner aus der Ferne zu kompromittieren. Ein Angreifer müsste Operationen auf dem Zielsystem ausführen können; welcher anfängliche Zugriff dafür erforderlich ist, ist jedoch nicht bekannt.

Auch das erreichbare Berechtigungsniveau wurde nicht angegeben. Insbesondere ist nicht bestätigt, ob FalconFlank direkt Berechtigungen von NT AUTHORITY\SYSTEM erlangen kann, wie es beim PoC ShieldBreak gegen Microsoft Defender der Fall ist.

Die Veröffentlichung des Codes verkürzt dennoch die Distanz zwischen Forschung und operativem Missbrauch. Ein Angreifer, der bereits auf einem Endpoint präsent ist, könnte versuchen, die Technik in eine nachgelagerte Angriffskette zu integrieren.

Getestete Systeme, aber keine definierte betroffene Version

Nach Angaben des Forschers kann FalconFlank auf einem vollständig aktualisierten Windows 11 25H2 oder auf Windows Server 2025 ausgeführt werden, sofern CrowdStrike Falcon auf dem System installiert ist.

Diese Angaben beschreiben die Testumgebungen, grenzen den Umfang der Schwachstelle jedoch nicht präzise ein. Nicht mitgeteilt wurden:

• die Versionsnummer der betroffenen CrowdStrike Falcon Sensor-Version;
• das erste betroffene Release;
• möglicherweise nicht betroffene Versionen;
• eine CVE-Kennung;
• ein CVSS-Score;
• ein offizieller Patch oder Workaround.

Daher lässt sich nicht feststellen, ob der Fehler sämtliche Falcon-Installationen auf den beiden Plattformen, eine bestimmte Konfiguration oder nur einzelne Builds des Sensors betrifft.

Auch Hashes, Dateinamen, Befehle oder Pfade, die direkt mit FalconFlank verbunden sind, liegen nicht vor. Die Beschreibung erwähnt eine Änderung an der Technik zum Laden einer DLL, liefert jedoch keine ausreichenden Indikatoren, um allein auf Grundlage dieses Verhaltens eine verlässliche Detection Rule zu erstellen.

Da keine CVE vorliegt, kann FalconFlank keinem spezifischen Eintrag im Known Exploited Vulnerabilities-Katalog der CISA zugeordnet werden. Ein Aufnahmedatum in den KEV-Katalog oder eine Frist für die Remediation sind daher nicht bekannt. Auch eine Ausnutzung bei realen Angriffen wurde bislang nicht dokumentiert.

Aussagen zu CrowdStrike-Detections müssen noch bestätigt werden

Chaotic Eclipse geht davon aus, dass CrowdStrike möglicherweise bereits Detections eingeführt hat, die den PoC erkennen können. Um diese während der Tests zu umgehen, empfiehlt der Forscher, das Sample in die Produktausschlüsse aufzunehmen oder den Code zu verschleiern und den DLL-Ladevorgang zu verändern.

Dabei handelt es sich nicht um defensive Gegenmaßnahmen. Im Gegenteil: Diese Techniken verringern die Sichtbarkeit des Produkts und dürfen nicht pauschal auf Produktionssystemen angewendet werden.

Die Annahme, dass Falcon das Sample bereits erkennt, wurde von CrowdStrike nicht bestätigt. Außerdem muss zwischen der Erkennung der veröffentlichten PoC-Kopie und der Erkennung der zugrunde liegenden Schwachstelle unterschieden werden: Eine auf Hashes, Zeichenfolgen oder der Code-Struktur basierende Signatur könnte gegenüber einer veränderten Variante versagen.

CrowdStrike soll um eine Stellungnahme gebeten worden sein; eine veröffentlichte Antwort des Unternehmens liegt jedoch nicht vor. Damit fehlen weiterhin eine offizielle Bewertung, eine Liste der betroffenen Releases und Angaben zur Verfügbarkeit einer Korrektur.

Bis zu einer Stellungnahme des Vendors sollte FalconFlank als öffentlicher, offiziell noch nicht eingeordneter PoC für eine mögliche lokale Privilegieneskalation in einer Endpoint-Komponente mit hohen Berechtigungen behandelt werden.

So lassen sich gefährdete Endpoints überprüfen

Organisationen, die CrowdStrike Falcon einsetzen, sollten zunächst alle Windows-11-25H2- und Windows-Server-2025-Systeme erfassen, auf denen der Sensor installiert ist. Außerdem sollte der exakte Build des Falcon Sensors dokumentiert werden, um ihn bei Veröffentlichung eines künftigen Advisories schnell abgleichen zu können.

Bei der Log-Analyse sollte nach mehreren miteinander verbundenen Signalen gesucht werden:

• ungewöhnliche Ereignisse während der Remediation von Office-Makros;
• unübliche DLL-Ladevorgänge im zeitlichen Zusammenhang mit einer Sensor-Aktion;
• unerwartete Prozesse, die mit Dateien interagieren, die gerade bereinigt werden;
• Hinzufügen oder Ändern von CrowdStrike-Ausschlüssen;
• Deaktivierungen, Fehler oder ungewöhnliches Verhalten des Sensors;
• wiederholte Ausführung von Samples, die eine Remediation und anschließend das Laden von Bibliotheken auslösen.

Eine einzelne Anomalie ist kein Beweis für eine Ausnutzung. Die Korrelation zwischen einem Dokument mit Makros, einer Aktion des Produkts und einer unerwarteten privilegierten Operation bietet jedoch einen deutlich belastbareren Ausgangspunkt.

Jede Überprüfung des PoC sollte ausschließlich in einem isolierten, autorisierten Labor mit geeigneter Telemetrie stattfinden. Das Sample in die unternehmensweiten Ausschlüsse aufzunehmen, um „zu sehen, ob es funktioniert“, setzt Endpoints unnötig einem Risiko aus und verändert genau die Kontrollen, die den Angriff erkennen sollten.

Die wichtigste Maßnahme bleibt die Beobachtung der Kommunikation von CrowdStrike. Sobald eine korrigierte Version oder offizielle Anweisungen verfügbar sind, sollten Administratoren sowohl die Aktualisierung des Sensors als auch die tatsächliche Verteilung des neuen Builds auf die verwalteten Hosts überprüfen.

HardBreacher und ShieldBreak: Drei Endpoint-Produkte im Fokus

FalconFlank wurde wenige Tage nach HardBreacher veröffentlicht, einem weiteren PoC desselben Forschers, der diesmal auf Kaspersky Endpoint Security for Windows 14.0.0.504 abzielt.

HardBreacher wird als wenig stabil beschrieben und erfordert möglicherweise mehrere Ausführungsversuche, bevor er erfolgreich ist. Bei Erfolg wird folgende Datei erstellt:

C:\Windows\System32\MY_SNAKE_IS_SOLID.dll

Die Datei soll für den aktuellen Benutzer über vollständige Berechtigungen verfügen. Die Prozessüberwachung der Kaspersky-Oberfläche könnte das Produkt außerdem beenden, die Entscheidungen zur Dateizugriffssteuerung verändern und Instabilitäten im Betriebssystem verursachen. Diese Merkmale sind Indikatoren für HardBreacher, nicht für FalconFlank.

Im Monat vor der Veröffentlichung von FalconFlank hatte der Forscher außerdem ShieldBreak veröffentlicht, das mit CVE-2026-69414 in Verbindung steht und auf die von Defender verwendete Microsoft Malware Protection Engine abzielt. Die Schwachstelle hat einen CVSS-Score von 7.8 und soll die Ausführung von Code mit Berechtigungen von NT AUTHORITY\SYSTEM ermöglichen.

Die ShieldBreak zugeschriebene Angriffskette kombiniert Cloud-Files-Funktionen, die Manipulation des Object-Manager-Namespace, direkte Aufrufe der Defender-APIs und eine Race Condition während der Remediation. Der Bereinigungsdienst soll dazu gebracht werden, eine vom Angreifer kontrollierte DLL unter folgendem Pfad abzulegen:

C:\Windows\System32\phoneinfo.dll

Die privilegierte Ausführung soll anschließend über eine integrierte Windows-Error-Reporting-Aufgabe erfolgen. Auch dieser Pfad ist kein Indikator für FalconFlank.

ShieldBreak wird als möglicher Umgehungsversuch der Korrektur für CVE-2026-50656, bekannt als RoguePlanet, dargestellt. Beide Microsoft-Schwachstellen verwenden folgenden Vektor:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Sie erfordern somit lokalen Zugriff und geringe Berechtigungen, jedoch keine Benutzerinteraktion. Die potenziellen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch.

Für CVE-2026-50656 und CVE-2026-69414 sind weder der Status noch das Aufnahmedatum oder eine Frist im CISA-KEV-Katalog bekannt. Microsoft soll an einem Sicherheitsupdate für ShieldBreak arbeiten; ein Veröffentlichungstermin wurde jedoch nicht genannt.

Die Disclosure bleibt umstritten und unvollständig

Der Fall reiht sich in eine Serie von Veröffentlichungen ein, die sich auf privilegierte Mechanismen von Windows-Sicherheitsprodukten konzentrieren. Für Microsoft wurden in den vergangenen 90 Tagen außerdem CVE-2019-1068 am 26. August 2026, CVE-2026-55040 und CVE-2026-33824 am 18. August 2026, CVE-2026-68820 am 11. August 2026, CVE-2026-50522 am 22. Juli 2026 sowie CVE-2026-58644 am 16. Juli 2026 in den KEV-Katalog aufgenommen.

In einem Beitrag vom 14. August 2026 warf Chaotic Eclipse Microsoft vor, seine Meldungen zu behindern und ihn als instabilen Kriminellen darzustellen. Außerdem erklärte er, künftig Schwachstellen in Produkten von Drittanbietern vor dem Patch Tuesday veröffentlichen zu wollen. Diese Aussagen wurden von Microsoft nicht bestätigt.

Bei FalconFlank bleibt das Fehlen einer öffentlichen Stellungnahme des Vendors der zentrale operative Punkt. Der PoC existiert, betrifft eine von einem Produkt mit hohen Berechtigungen ausgeführte Remediation-Aktion und soll auf aktualisierten Windows-Systemen getestet worden sein. Es fehlen jedoch die Informationen, die erforderlich wären, um die Gefährdung, die Zuverlässigkeit und die Auswirkungen präzise zu bewerten.

Administratoren sollten den veröffentlichten Code weder ignorieren noch bereits von einer großflächig bestätigten Kompromittierung ausgehen. Die derzeit wirksamste Reaktion besteht darin, die Überwachung zu verstärken, die Ausschlüsse des Sensors zu schützen und sich auf eine schnelle Umsetzung offizieller Hinweise von CrowdStrike vorzubereiten.