FalconFlank svela il paradosso degli EDR: la protezione diventa…

Il ricercatore Nightmare Eclipse ha rilasciato FalconFlank, un PoC di privilege escalation zero-day contro CrowdStrike Falcon Sensor. L'azienda conferma l'indagine e

Il 3 settembre 2026 il ricercatore noto come Nightmare Eclipse — alias Chaotic Eclipse, Infinite Nightmare e MSNightmare — ha pubblicato su GitHub FalconFlank, un proof-of-concept funzionante per una vulnerabilità zero-day di privilege escalation locale in CrowdStrike Falcon Sensor. Il PoC sfrutta la funzione di rimozione macro malevole di Microsoft Office, componente ad alto privilegio del sensore endpoint, per ottenere esecuzione con livello SYSTEM. CrowdStrike ha confermato di essere in fase di indagine attiva e ha indicato una mitigazione temporanea, ma non ha rilasciato patch né assegnato un CVE.

Punti chiave

FalconFlank è un PoC zero-day pubblicato il 3 settembre 2026 che abusa della funzione di rimozione macro malevole in CrowdStrike Falcon Sensor per escalation di privilegi locali
Il ricercatore dichiara che il PoC funziona su Windows 11 25H2 e Windows Server 2025 con CrowdStrike Falcon configurato su Phase 3 Optimal Protection e la rimozione macro abilitata
CrowdStrike conferma l'indagine in corso e indica ai clienti di disabilitare la policy "Microsoft Office File Suspicious Macro Removal"; non risulta CVE assegnato
Lo stesso ricercatore ha pubblicato zero-day per quattro vendor di sicurezza endpoint in due mesi: Microsoft Defender, Kaspersky, Avast e ora CrowdStrike

Come funziona l'attacco: la rimozione macro come vettore di SYSTEM

La meccanica di FalconFlank ruota intorno a una contraddizione architetturale. CrowdStrike Falcon Sensor opera con privilegi elevatissimi per intercettare, analizzare e neutralizzare minacce in tempo reale. Tra le sue funzioni di remediation, il sensore include la rimozione automatica di macro malevole nei file Microsoft Office: un'operazione che richiede accesso profondo al sistema per ispezionare documenti, terminare processi e modificare contenuti.

Secondo il README GitHub pubblicato dal ricercatore, FalconFlank "è una privilege escalation zero-day che abusa della remediation macro malevole di Office in CrowdStrike Falcon Sensor". Il ricercatore aggiunge un'avvertenza significativa: "ovviamente quando pubblico questo CrowdStrike avrà già delle detection, quindi se volete testarlo dovete aggiungerlo alle eccezioni o offuscare il PoC e cambiare la tecnica di caricamento DLL". Questa nota suggerisce che la detection attuale del vendor si concentra sullo specifico vettore pubblicato, non necessariamente sulla classe di vulnerabilità sottostante.

Il ricercatore specifica le condizioni operative: il PoC funziona "su Windows 11 25H2 / Windows Server 2025 completamente aggiornati con CrowdStrike Falcon – Phase 3 Optimal Protection" e richiede che sia attiva la policy "Microsoft Office file malicious macro removal". Non emergono nel dossier versioni specifiche di Falcon Sensor interessate, né dettagli tecnici completi sul meccanismo di caricamento DLL o sul processo SYSTEM target. La fonte SecurityOnline, pur confermando i claim centrali, segnala esplicitamente che le fonti mantengono "deliberatamente vaghi" questi dettagli.

La convergenza delle fonti e la verifica di Beaumont

Il claim di funzionalità del PoC non si fonda solo sulla parola del ricercatore. Kevin Beaumont, noto esperto di sicurezza, ha verificato indipendentemente che FalconFlank funziona. Infosecurity Magazine e SecurityWeek citano entrambi questa conferma. Beaumont ha inoltre contestualizzato il fenomeno in termini più ampi: "Un segreto di pulcinella tra i ricercatori di sicurezza è che la maggior parte dei prodotti di cybersecurity fa schifo a cybersecurity", scrivendo su Mastodon che "i prodotti EDR che brickano PC e sono banali da bypassare e exploitare" rappresentano una realtà sistemica dell'industria.

La risposta di CrowdStrike è stata rapida ma contenuta. Un portavoce ha dichiarato: "Stiamo attivamente investigando queste claim e consigliamo ai clienti di disabilitare l'impostazione di policy Windows Microsoft Office File Suspicious Macro Removal. I clienti restano protetti tramite le impostazioni Cloud Anti-malware for Microsoft Office Files. Rinviamo i clienti al FalconFlank Tech Alert nel portale di supporto CrowdStrike". Il Tech Alert, tuttavia, è accessibile solo agli account clienti: una scelta che limita la verificabilità pubblica delle informazioni tecniche aggiuntive.

Il pattern Nightmare Eclipse: quattro vendor in due mesi

FalconFlank non è un incidente isolato. Il ricercatore ha pubblicato negli ultimi due mesi zero-day funzionanti per quattro dei principali vendor di sicurezza endpoint. SecurityWeek colloca il rilascio di CrowdStrike, Nvidia e Avast nella stessa finestra temporale di "inizio settembre 2026", mentre Infosecurity Magazine e Techzine tracciano una cronologia più estesa: ShieldBreak contro Microsoft Defender (con CVE-2026-69414, CVSS 7.8 HIGH), HardBreacher contro Kaspersky, GreenSection contro Nvidia, PrettyPrague contro Avast, e ora FalconFlank contro CrowdStrike.

A settembre 2026 il ricercatore aveva già pubblicato l'Exploitarium, un dump di oltre trenta proof-of-concept. La concentrazione su prodotti di sicurezza endpoint non è casuale: questi software richiedono privilegi di sistema massimi per funzionare, il che li rende target particolarmente remunerativi per chi cerca vulnerabilità di privilege escalation. Come osserva Beaumont, "è un mondo selvaggio là fuori".

"An open secret amongst security researchers is most cybersecurity products are crap at cybersecurity" — Kevin Beaumont, Mastodon

Cosa fare adesso

Per le organizzazioni che utilizzano CrowdStrike Falcon, le azioni documentate nel dossier sono le seguenti:

Disabilitare la policy "Microsoft Office File Suspicious Macro Removal Windows" come indicato da CrowdStrike; la protezione anti-malware cloud per file Microsoft Office resta attiva
Verificare che la configurazione Phase 3 Optimal Protection sia coerente con le policy di sicurezza dell'organizzazione, dato che il PoC è testato proprio su questo livello
Consultare il FalconFlank Tech Alert nel portale di supporto CrowdStrike, se disponibile con account cliente, per aggiornamenti tecnici ufficiali
Monitorare l'assegnazione di un CVE formale e l'eventuale rilascio di patch strutturali, dato che al momento non risulta CVE assegnato né correzione disponibile

L'architettura della fiducia: quando il guardiano diventa la porta

FalconFlank rivela un problema di progettazione che attraversa l'intera industria EDR. L'architettura di questi prodotti richiede che il sensore operi con privilegi superiori a qualsiasi altro software, inclusi i sistemi operativi stessi in alcuni contesti di isolamento. Questa posizione strutturale, funzionale alla detection e alla response, crea simultaneamente una superficie d'attacco concentrata e ad alto impatto.

La sequenza di zero-day di Nightmare Eclipse suggerisce una scrutiny coordinata dell'industria EDR/AV, non una ricerca opportunistica. Il ricercatore ha dimostrato che vendor diversi condividono pattern simili: funzioni di remediation ad alto privilegio, scoping inadeguato dei permessi di sistema, e gap tra detection dello specifico exploit e comprensione della vulnerabilità sottostante. Per i CISO, la lezione non è solo tecnica ma architetturale: la dipendenza da un singolo prodotto endpoint, per quanto rispettato, introduce un punto di fallimento privilegiato che il threat model organizzativo deve esplicitamente contemplare.

Il dossier non documenta exploitation in the wild né attribuzione dell'attività del ricercatore. Non emergono dettagli sul contenuto del FalconFlank Tech Alert, sulla roadmap di patch di CrowdStrike, né su eventuali detection per la classe di vulnerabilità oltre che per il PoC specifico. Ciò che è documentato è sufficiente a delineare un rischio concreto per le enterprise: un vettore di privilege escalation funzionante, verificato indipendentemente, senza correzione disponibile, in uno dei prodotti EDR più diffusi al mondo.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter