FalconFlank: zero-day in CrowdStrike Falcon svelato il 3…

Il ricercatore Nightmare Eclipse ha pubblicato un exploit zero-day per CrowdStrike Falcon Sensor che abusa la rimozione macro di Office per ottenere privilegi SYSTEM

Il 3 settembre 2026 il ricercatore noto come Nightmare Eclipse (alias Chaotic Eclipse, INFINITE NIGHTMARE, MSNightmare) ha pubblicato su GitHub FalconFlank, un exploit proof-of-concept che dimostra un'escalation di privilegi zero-day in CrowdStrike Falcon Sensor. La tecnica abusa la funzione di rimozione macro malevole di Microsoft Office integrata nel sensore, caricando una DLL controllata dall'attaccante con privilegi SYSTEM su sistemi Windows completamente aggiornati.

Punti chiave

Exploit zero-day pubblicato il 3 settembre 2026: abusa la funzione "Microsoft Office File Suspicious Macro Removal" di CrowdStrike Falcon Sensor.
Confermato funzionante su Windows 11 25H2 e Windows Server 2025 completamente aggiornati, secondo la dichiarazione diretta del ricercatore riportata da BleepingComputer.
Nessun CVE assegnato e nessuna patch disponibile al 7 settembre 2026; CrowdStrike ha aperto un'indagine.
Kevin Beaumont ha verificato indipendentemente che l'exploit funziona, come riportato da Infosecurity Magazine e BleepingComputer.
L'unica mitigazione documentata ufficialmente è la disabilitazione della policy "Microsoft Office File Suspicious Macro Removal Windows"; CrowdStrike sostiene che i clienti rimangano protetti tramite le impostazioni "Cloud Anti-malware for Microsoft Office Files".

Come funziona l'exploit

Il meccanismo tecnico è documentato nel README GitHub del ricercatore e riportato da The Hacker News. FalconFlank "abusa la rimozione macro malevole di Office nel CrowdStrike Falcon Sensor" per caricare una DLL controllata dall'attaccante.

Secondo Rescana, la DLL malevola viene "eseguita con privilegi SYSTEM". BleepingComputer aggiunge che l'exploit "permette agli attaccanti di ottenere l'escalation di privilegi su sistemi Windows aggiornati" e di "generare un prompt dei comandi con privilegi SYSTEM". L'attacco richiede esecuzione di codice preliminare: non è remote exploitable.

Il ricercatore stesso ha anticipato la reazione di CrowdStrike: "ovviamente quando pubblico questo CrowdStrike avrà già rilevamenti, quindi se vuoi testarlo devi aggiungerlo alle esclusioni o offuscare il PoC e cambiare la tecnica di caricamento DLL". Questa dichiarazione, citata direttamente da The Hacker News, indica che il ricercatore ritiene possibile evadere i rilevamenti iniziali.

La conferma indipendente e la risposta di CrowdStrike

Kevin Beaumont ha verificato autonomamente che l'exploit funziona. Infosecurity Magazine e BleepingComputer concordano su questa conferma. La citazione di Beaumont su Mastodon — "most cybersecurity products are crap at cybersecurity" — è un commento generale sulla qualità dei prodotti di sicurezza, non una valutazione specifica di FalconFlank.

La risposta di CrowdStrike, trasmessa attraverso portavoce citati da tre fonti primarie, comprende due elementi. Primo: "Stiamo attivamente investigando queste affermazioni". Secondo: "consigliamo ai clienti di disabilitare l'impostazione di policy Microsoft Office File Suspicious Macro Removal Windows". Parallelamente, l'azienda afferma che "i clienti rimangono protetti tramite le impostazioni Cloud Anti-malware for Microsoft Office Files".

Il FalconFlank Tech Alert, menzionato da Infosecurity e BleepingComputer, è ospitato nel portale di supporto CrowdStrike ma non accessibile pubblicamente; il suo contenuto tecnico non è verificato dalle fonti disponibili.

Il profilo del ricercatore e il contesto delle disclosure

Nightmare Eclipse opera sotto molteplici alias: Chaotic Eclipse, INFINITE NIGHTMARE e MSNightmare. Techzine e The Hacker News confermano questa molteplicità di identità. Il ricercatore ha dichiarato in un post del 14 agosto 2026, citato da The Hacker News: "Non posso nemmeno segnalare i bug che trovo ai rispettivi vendor a causa delle restrizioni di Microsoft, tutto questo è opera loro". Questa affermazione si riferisce a una situazione generale, non specificamente documentata per FalconFlank.

Infosecurity Magazine riporta che lo stesso ricercatore ha precedentemente pubblicato un "Exploitarium" con oltre 30 proof-of-concept per progetti open source. Nello stesso periodo di FalconFlank, ha divulgato zero-day per Kaspersky (HardBreacher), Avast (PrettyPrague), Nvidia (GreenSection) e Microsoft Defender (ShieldBreak/CVE-2026-69414), come documentato da BleepingComputer, The Hacker News e Techzine. Questo pattern contestualizza l'esperienza del ricercatore ma non altera la natura specifica della vulnerabilità FalconFlank.

Cosa fare adesso

Per le organizzazioni che utilizzano CrowdStrike Falcon Sensor con la funzione di rimozione macro abilitata, le azioni documentate nelle fonti sono:

Valutare la disabilitazione della policy "Microsoft Office File Suspicious Macro Removal Windows", come raccomandato direttamente da CrowdStrike.
Verificare che le impostazioni "Cloud Anti-malware for Microsoft Office Files" siano attive, secondo la dichiarazione di CrowdStrike sulla protezione dei clienti.
Monitorare il portale di supporto CrowdStrike per l'eventuale pubblicazione del FalconFlank Tech Alert o di un advisory con CVE.

La decisione di disabilitare la rimozione macro locale dipende dalla valutazione del singolo ambiente sulla copertura offerta dalle impostazioni cloud, elemento non quantificato nelle fonti disponibili.

Dato chiave
Nessun CVE assegnato al 7 settembre 2026 — la vulnerabilità rimane non classificata nel sistema standard di scoring pubblico nonostante la conferma di funzionamento su sistemi aggiornati.

Limiti delle fonti e chiusura editoriale

Le informazioni si basano sulle dichiarazioni del ricercatore pubblicate su GitHub e sulla copertura giornalistica convergente di BleepingComputer, The Hacker News, Infosecurity Magazine, Techzine e Rescana. Manca un advisory ufficiale CrowdStrike con CVE o punteggio CVSS. Le fonti giornalistiche ripetono le stesse informazioni di base; non esistono fonti primarie indipendenti oltre al README del ricercatore.

Non è verificato se le impostazioni cloud anti-malware di CrowdStrike coprano tutti i vettori d'attacco potenziali. Non è documentata alcuna osservazione di sfruttamento attivo in natura. La pubblicazione di FalconFlank senza coordinamento vendor e senza identificatore CVE evidenzia una lacuna nel processo di disclosure responsabile, con impatti diretti sulla capacità delle organizzazioni di tracciare e prioritizzare la minaccia attraverso i sistemi di gestione delle vulnerabilità standardizzati.

La situazione rimane in evoluzione. L'assenza di patch e di CVE al 7 settembre 2026 lascia le difese dipendenti da configurazioni di policy che le stesse fonti non quantificano in termini di efficacia comparativa. La verifica indipendente di Kevin Beaumont conferma la realtà tecnica della minaccia; la risposta di CrowdStrike, in attesa di conclusione investigativa, offre solo mitigazioni parziali e non definitive.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter