FalconFlank : un PoC d’escalade de privilèges dans CrowdStrike Falcon a été publié

Le mécanisme de remédiation des macros devient une surface d’attaque

Un chercheur connu sous le pseudonyme Chaotic Eclipse, également actif sous les alias INFINITE NIGHTMARE, MSNightmare et Nightmare-Eclipse, a récemment publié FalconFlank, un proof of concept susceptible de permettre une escalade locale de privilèges dans CrowdStrike Falcon.

L’information a été repérée le 3 septembre 2026, mais la date exacte de publication du code n’est pas connue.

Le problème résiderait dans le mécanisme utilisé par CrowdStrike Falcon Sensor pour gérer la remédiation des macros Office considérées comme malveillantes. Ces fonctions s’exécutent généralement avec des autorisations élevées, nécessaires pour intervenir sur des fichiers, des processus et d’autres ressources système protégées. FalconFlank chercherait à détourner ce flux afin de le transformer en primitive exploitable pour une escalade de privilèges.

Le vecteur est local. Cela signifie que le PoC ne décrit pas, à lui seul, une méthode permettant de compromettre à distance une machine protégée par Falcon. Un attaquant devrait pouvoir exécuter des opérations sur le système cible, mais le niveau d’accès initial requis n’est pas connu.

Le niveau de privilèges pouvant être obtenu n’a pas non plus été précisé. En particulier, rien ne confirme que FalconFlank permette d’obtenir directement les privilèges NT AUTHORITY\SYSTEM, comme c’est le cas avec le PoC ShieldBreak contre Microsoft Defender.

La publication du code réduit néanmoins la distance entre la recherche et l’exploitation opérationnelle. Un attaquant déjà présent sur un endpoint pourrait tenter d’intégrer cette technique à une chaîne d’attaque postérieure à l’accès initial.

Systèmes testés, mais aucune version vulnérable clairement identifiée

Selon le chercheur, FalconFlank peut être exécuté sur une machine Windows 11 25H2 entièrement mise à jour ou sur Windows Server 2025, à condition que CrowdStrike Falcon y soit installé.

Ces indications décrivent les environnements de test, mais ne permettent pas de délimiter précisément le périmètre de la vulnérabilité. Les informations suivantes n’ont pas été communiquées :

• le numéro de version vulnérable de CrowdStrike Falcon Sensor ;
• la première version concernée ;
• les éventuelles versions non vulnérables ;
• un identifiant CVE ;
• un score CVSS ;
• un correctif ou une mesure de contournement officielle.

Il est donc impossible de déterminer si le défaut concerne toutes les installations de Falcon sur ces deux plateformes, une configuration particulière ou uniquement certaines builds du capteur.

Aucun hash, nom de fichier, commande ou chemin directement associé à FalconFlank ne semble non plus disponible. La description mentionne une modification de la technique de chargement d’une DLL, mais ne fournit pas suffisamment d’indicateurs pour créer une règle de détection fiable fondée uniquement sur ce comportement.

En l’absence de CVE, FalconFlank ne peut pas être associé à une entrée précise du catalogue Known Exploited Vulnerabilities de la CISA. Aucune date d’ajout au catalogue KEV ni aucune échéance de remédiation ne sont donc connues. Aucune exploitation dans le cadre d’attaques réelles n’a par ailleurs été documentée.

Les affirmations concernant les détections de CrowdStrike restent à confirmer

Chaotic Eclipse estime que CrowdStrike pourrait déjà avoir mis en place des détections capables d’intercepter le PoC. Pour les contourner pendant les tests, le chercheur conseille de placer l’échantillon dans les exclusions du produit ou d’obfusquer le code et de modifier le chargement de la DLL.

Il ne s’agit pas de mesures défensives. Au contraire, ces techniques réduisent la visibilité du produit et ne doivent pas être appliquées sans discernement sur des systèmes de production.

L’hypothèse selon laquelle Falcon détecterait déjà l’échantillon n’a pas été confirmée par CrowdStrike. Il convient également de distinguer la reconnaissance de la copie publique du PoC de la détection de la vulnérabilité sous-jacente : une signature fondée sur un hash, des chaînes de caractères ou la structure du code pourrait ne plus fonctionner face à une variante modifiée.

CrowdStrike aurait été sollicitée pour commenter la situation, mais aucune réponse de l’entreprise ne semble avoir été publiée. Il manque donc une évaluation officielle, la liste des versions concernées et des informations sur la disponibilité éventuelle d’un correctif.

Jusqu’à la publication d’une communication du fournisseur, FalconFlank doit être considéré comme un PoC public qui n’a pas encore fait l’objet d’une qualification officielle, associé à une possible escalade locale dans un composant endpoint disposant de privilèges élevés.

Comment vérifier les endpoints exposés

Les organisations qui utilisent CrowdStrike Falcon devraient commencer par recenser les systèmes Windows 11 25H2 et Windows Server 2025 sur lesquels le capteur est installé. Elles doivent également relever la build exacte de Falcon Sensor afin de pouvoir la comparer rapidement à un éventuel futur avis de sécurité.

La recherche dans les journaux devrait se concentrer sur plusieurs signaux corrélés :

• des événements anormaux pendant la remédiation de macros Office ;
• des chargements inhabituels de DLL à proximité d’une action du capteur ;
• des processus inattendus interagissant avec des fichiers en cours de nettoyage ;
• l’ajout ou la modification d’exclusions CrowdStrike ;
• des désactivations, des erreurs ou des comportements anormaux du capteur ;
• l’exécution répétée d’échantillons provoquant une remédiation suivie du chargement de bibliothèques.

Une anomalie isolée ne suffit pas à prouver une exploitation. La corrélation entre un document contenant des macros, l’intervention du produit et une opération privilégiée inattendue constitue toutefois un point de départ plus solide.

Toute vérification du PoC doit être réalisée exclusivement dans un laboratoire isolé et autorisé, doté d’une télémétrie adéquate. Placer l’échantillon dans les exclusions de l’entreprise pour « voir s’il fonctionne » expose inutilement les endpoints et désactive précisément les contrôles censés le détecter.

La principale mesure à prendre reste de surveiller les communications de CrowdStrike. Lorsqu’une version corrigée ou des instructions officielles seront disponibles, les administrateurs devront vérifier à la fois la mise à jour du capteur et le déploiement effectif de la nouvelle build sur les hôtes administrés.

HardBreacher et ShieldBreak : trois produits endpoint sous surveillance

FalconFlank a été publié quelques jours après HardBreacher, un autre PoC du même chercheur, cette fois ciblant Kaspersky Endpoint Security for Windows 14.0.0.504.

HardBreacher est décrit comme peu stable et pourrait nécessiter plusieurs tentatives avant de fonctionner. En cas de succès, il crée le fichier suivant :

C:\Windows\System32\MY_SNAKE_IS_SOLID.dll

Le fichier disposerait de permissions complètes pour l’utilisateur courant. Le contrôle du processus de l’interface de Kaspersky pourrait également arrêter le produit, modifier les décisions d’accès aux fichiers et provoquer une instabilité du système d’exploitation. Ces éléments sont des indicateurs de HardBreacher, et non de FalconFlank.

Au cours du mois précédant la publication de FalconFlank, le chercheur avait également diffusé ShieldBreak, associé à CVE-2026-69414 et ciblant le Microsoft Malware Protection Engine utilisé par Defender. La vulnérabilité possède un score CVSS 7.8 et permettrait l’exécution de code avec les privilèges NT AUTHORITY\SYSTEM.

La chaîne attribuée à ShieldBreak combine les fonctionnalités Cloud Files, la manipulation de l’espace de noms de l’Object Manager, des appels directs aux API de Defender et une race condition lors de la remédiation. Le moteur de nettoyage serait amené à écrire une DLL contrôlée par l’attaquant dans le chemin suivant :

C:\Windows\System32\phoneinfo.dll

L’exécution avec des privilèges élevés se produirait ensuite via une tâche intégrée de Windows Error Reporting. Ce chemin ne constitue pas non plus un indicateur de FalconFlank.

ShieldBreak est présenté comme un possible contournement du correctif associé à CVE-2026-50656, connue sous le nom de RoguePlanet. Les deux vulnérabilités Microsoft ont le vecteur suivant :

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Elles nécessitent donc un accès local et de faibles privilèges, mais aucune interaction de l’utilisateur ; leur impact potentiel est élevé sur la confidentialité, l’intégrité et la disponibilité.

Pour CVE-2026-50656 et CVE-2026-69414, leur statut, leur date d’ajout ou leur échéance dans le catalogue CISA KEV ne sont pas connus. Microsoft travaillerait sur une mise à jour de sécurité concernant ShieldBreak, mais aucune date de disponibilité n’a été communiquée.

Une divulgation encore conflictuelle et incomplète

Cette affaire s’inscrit dans une série de publications consacrées aux mécanismes privilégiés des produits de sécurité Windows. Pour Microsoft, au cours des 90 derniers jours, les vulnérabilités suivantes ont également été ajoutées au catalogue KEV : CVE-2019-1068 le 26 août 2026, CVE-2026-55040 et CVE-2026-33824 le 18 août 2026, CVE-2026-68820 le 11 août 2026, CVE-2026-50522 le 22 juillet 2026 et CVE-2026-58644 le 16 juillet 2026.

Dans une publication datée du 14 août 2026, Chaotic Eclipse a accusé Microsoft d’entraver ses signalements et de le présenter comme un criminel instable. Il a également déclaré vouloir publier des vulnérabilités touchant des produits tiers avant le Patch Tuesday. Ces affirmations n’ont pas été confirmées par Microsoft.

Concernant FalconFlank, le principal élément opérationnel reste l’absence de position publique du fournisseur. Le PoC existe, cible une activité de remédiation exécutée par un produit disposant de privilèges élevés et aurait été testé sur des systèmes Windows à jour. Les informations nécessaires pour mesurer précisément l’exposition, la fiabilité et l’impact font toutefois défaut.

Les administrateurs ne doivent ni ignorer le code public ni le considérer comme la preuve d’une compromission déjà confirmée à grande échelle. Pour l’instant, la réponse la plus efficace consiste à renforcer la surveillance, à protéger les exclusions du capteur et à se préparer à déployer rapidement les recommandations officielles de CrowdStrike.