FalconFlank, pubblicato un PoC per l’escalation di privilegi in CrowdStrike Falcon

Il meccanismo di remediation delle macro diventa superficie d’attacco

Un ricercatore noto come Chaotic Eclipse, attivo anche con gli alias INFINITE NIGHTMARE, MSNightmare e Nightmare-Eclipse, ha pubblicato di recente FalconFlank, un proof of concept per una possibile escalation locale dei privilegi in CrowdStrike Falcon.

La notizia è stata rilevata il 3 settembre 2026, ma non è nota la data esatta di pubblicazione del codice.

Il problema risiederebbe nel meccanismo con cui CrowdStrike Falcon Sensor gestisce la remediation delle macro Office considerate malevole. Queste funzioni operano normalmente con autorizzazioni elevate, necessarie per intervenire su file, processi e altre risorse protette del sistema. FalconFlank cercherebbe di deviare tale flusso per trasformarlo in una primitiva utile all’escalation.

Il vettore è locale. Questo significa che il PoC non descrive, da solo, un metodo per violare da remoto una macchina protetta da Falcon. Un attaccante dovrebbe poter eseguire operazioni sul sistema bersaglio, ma non è noto quale accesso iniziale sia richiesto.

Non è stato specificato neppure il livello di privilegio raggiungibile. In particolare, non risulta confermato se FalconFlank consenta di ottenere direttamente i privilegi NT AUTHORITY\SYSTEM, come avviene invece nel PoC ShieldBreak contro Microsoft Defender.

La pubblicazione del codice riduce comunque la distanza fra ricerca e abuso operativo. Un attaccante già presente su un endpoint potrebbe tentare di integrare la tecnica in una catena successiva al primo accesso.

Sistemi testati, ma nessuna versione vulnerabile definita

Secondo il ricercatore, FalconFlank può essere eseguito su una macchina Windows 11 25H2 completamente aggiornata oppure su Windows Server 2025, purché sul sistema sia installato CrowdStrike Falcon.

Queste indicazioni descrivono gli ambienti di prova, non delimitano con precisione il perimetro della vulnerabilità. Non sono stati comunicati:

• il numero della versione vulnerabile di CrowdStrike Falcon Sensor;
• la prima release interessata;
• eventuali versioni non vulnerabili;
• un identificativo CVE;
• un punteggio CVSS;
• una patch o un workaround ufficiale.

Non è quindi possibile stabilire se il difetto riguardi tutte le installazioni Falcon sulle due piattaforme, una specifica configurazione o soltanto determinate build del sensore.

Non risultano disponibili neppure hash, nomi di file, comandi o percorsi associati direttamente a FalconFlank. La descrizione cita la modifica della tecnica di caricamento di una DLL, ma non fornisce indicatori sufficienti per creare una regola di rilevamento affidabile basata soltanto su questo comportamento.

In assenza di un CVE, FalconFlank non può essere associato a una specifica voce del catalogo Known Exploited Vulnerabilities della CISA. Non sono pertanto note una data di inserimento nel KEV o una scadenza di remediation. Non è stato inoltre documentato uno sfruttamento in attacchi reali.

Le affermazioni sui rilevamenti di CrowdStrike restano da confermare

Chaotic Eclipse ritiene che CrowdStrike possa avere già introdotto rilevamenti capaci di intercettare il PoC. Per aggirarli durante i test, il ricercatore suggerisce di collocare il campione nelle esclusioni del prodotto oppure di offuscare il codice e modificare il caricamento della DLL.

Non si tratta di contromisure difensive. Al contrario, sono tecniche che riducono la visibilità del prodotto e non devono essere applicate indiscriminatamente sui sistemi di produzione.

L’ipotesi che Falcon rilevi già il campione non è stata confermata da CrowdStrike. È inoltre necessario distinguere fra il riconoscimento della copia pubblica del PoC e il rilevamento della vulnerabilità sottostante: una firma costruita su hash, stringhe o struttura del codice potrebbe fallire davanti a una variante modificata.

CrowdStrike sarebbe stata contattata per un commento, ma non risulta pubblicata una risposta dell’azienda. Mancano quindi una valutazione ufficiale, l’elenco delle release coinvolte e indicazioni sulla disponibilità di una correzione.

Fino a una comunicazione del vendor, FalconFlank va trattato come un PoC pubblico non ancora qualificato ufficialmente, relativo a una possibile escalation locale in un componente endpoint ad alto privilegio.

Come controllare gli endpoint esposti

Le organizzazioni che utilizzano CrowdStrike Falcon dovrebbero innanzitutto censire i sistemi Windows 11 25H2 e Windows Server 2025 sui quali è presente il sensore. Occorre registrare anche la build esatta di Falcon Sensor, così da poterla confrontare rapidamente con un futuro advisory.

La ricerca nei log dovrebbe concentrarsi su più segnali correlati:

• eventi anomali durante la remediation di macro Office;
• caricamenti insoliti di DLL in prossimità di un’azione del sensore;
• processi non attesi che interagiscono con file sottoposti a pulizia;
• aggiunta o modifica delle esclusioni di CrowdStrike;
• disattivazioni, errori o comportamenti anomali del sensore;
• esecuzioni ripetute di campioni che provocano remediation e successivi caricamenti di librerie.

La singola anomalia non prova lo sfruttamento. La correlazione fra un documento con macro, l’intervento del prodotto e un’operazione privilegiata inattesa offre però un punto di partenza più solido.

Qualsiasi verifica del PoC dovrebbe avvenire esclusivamente in un laboratorio isolato, autorizzato e dotato di telemetria. Inserire il campione nelle esclusioni aziendali per “vedere se funziona” espone inutilmente gli endpoint e altera proprio i controlli che dovrebbero rilevarlo.

La misura principale resta il monitoraggio delle comunicazioni di CrowdStrike. Quando saranno disponibili una versione corretta o istruzioni ufficiali, gli amministratori dovranno verificare sia l’aggiornamento del sensore sia l’effettiva applicazione della nuova build agli host gestiti.

HardBreacher e ShieldBreak: tre prodotti endpoint sotto esame

FalconFlank arriva pochi giorni dopo HardBreacher, un altro PoC dello stesso ricercatore, questa volta rivolto a Kaspersky Endpoint Security for Windows 14.0.0.504.

HardBreacher è descritto come poco stabile e potrebbe richiedere più esecuzioni prima di riuscire. In caso di successo crea:

C:\Windows\System32\MY_SNAKE_IS_SOLID.dll

Il file avrebbe permessi completi per l’utente corrente. Il controllo del processo dell’interfaccia di Kaspersky potrebbe inoltre arrestare il prodotto, alterare le decisioni di accesso ai file e causare instabilità del sistema operativo. Questi elementi sono indicatori di HardBreacher, non di FalconFlank.

Nel mese precedente alla pubblicazione di FalconFlank, il ricercatore aveva diffuso anche ShieldBreak, associato a CVE-2026-69414 e rivolto al Microsoft Malware Protection Engine utilizzato da Defender. La vulnerabilità ha un punteggio CVSS 7.8 e consentirebbe l’esecuzione di codice con privilegi NT AUTHORITY\SYSTEM.

La catena attribuita a ShieldBreak combina funzionalità Cloud Files, manipolazione del namespace Object Manager, chiamate dirette alle API di Defender e una race condition nella remediation. Il motore di pulizia verrebbe indotto a scrivere una DLL controllata dall’attaccante nel percorso:

C:\Windows\System32\phoneinfo.dll

L’esecuzione privilegiata avverrebbe successivamente attraverso un’attività integrata di Windows Error Reporting. Anche questo percorso non è un indicatore di FalconFlank.

ShieldBreak viene presentato come possibile aggiramento della correzione per CVE-2026-50656, nota come RoguePlanet. Entrambe le vulnerabilità Microsoft hanno vettore:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Richiedono quindi accesso locale e privilegi bassi, ma non l’interazione dell’utente; l’impatto potenziale è elevato su riservatezza, integrità e disponibilità.

Per CVE-2026-50656 e CVE-2026-69414 non sono noti stato, data di ingresso o scadenza nel catalogo CISA KEV. Microsoft starebbe lavorando a un aggiornamento di sicurezza per ShieldBreak, ma non è indicata una data di disponibilità.

La disclosure resta conflittuale e incompleta

Il caso si inserisce in una serie di pubblicazioni concentrate sui meccanismi privilegiati dei prodotti di sicurezza Windows. Per Microsoft, negli ultimi 90 giorni sono entrate nel catalogo KEV anche CVE-2019-1068 il 26 agosto 2026, CVE-2026-55040 e CVE-2026-33824 il 18 agosto 2026, CVE-2026-68820 l’11 agosto 2026, CVE-2026-50522 il 22 luglio 2026 e CVE-2026-58644 il 16 luglio 2026.

In un post del 14 agosto 2026, Chaotic Eclipse ha accusato Microsoft di ostacolare le sue segnalazioni e di dipingerlo come un criminale instabile. Ha inoltre dichiarato di voler pubblicare vulnerabilità di prodotti di terze parti prima del Patch Tuesday. Queste affermazioni non risultano confermate da Microsoft.

Per FalconFlank, il dato operativo centrale rimane l’assenza di una posizione pubblica del vendor. Il PoC esiste, interessa un’attività di remediation eseguita da un prodotto altamente privilegiato e sarebbe stato provato su sistemi Windows aggiornati. Mancano però le informazioni necessarie per misurare con precisione esposizione, affidabilità e impatto.

Gli amministratori non dovrebbero né ignorare il codice pubblico né considerarlo già una compromissione confermata su larga scala. La risposta più efficace, per ora, consiste nel rafforzare il monitoraggio, proteggere le esclusioni del sensore e prepararsi a distribuire rapidamente le indicazioni ufficiali di CrowdStrike.