CrowdStrike FalconFlank: zero-day di privilege escalation…

Il 3 settembre 2026 il ricercatore Chaotic Eclipse ha reso pubblico FalconFlank, un proof-of-concept per una vulnerabilità zero-day che trasforma in vettore di

{"main_topic":"cybersecurity","topics":["vulnerabilita","zero-day","exploit","microsoft","enterprise"]}

Il 3 settembre 2026 il ricercatore Chaotic Eclipse ha reso pubblico FalconFlank, un proof-of-concept per una vulnerabilità zero-day che trasforma in vettore di attacco una feature di protezione del CrowdStrike Falcon Sensor. L'exploit abusa la funzione di rimozione macro maligne di Microsoft Office per eseguire codice con privilegi SYSTEM, rendendo il prodotto EDR stesso il punto debole dell'infrastruttura.

Punti chiave

Chaotic Eclipse ha pubblicato il PoC FalconFlank su GitHub il 3 settembre 2026; la tecnica sfrutta la remediation macro di Office nel Falcon Sensor.
L'exploit funziona su Windows 11 25H2 e Windows Server 2025 con configurazione Phase 3 Optimal Protection e la feature "Microsoft Office file malicious macro removal" attiva.
Kevin Beaumont ha confermato indipendentemente che l'exploit "works", senza fornire dettagli tecnici aggiuntivi.
CrowdStrike ha dichiarato di stare investigando e ha indicato come mitigazione temporanea la disabilitazione della policy specifica, rimandando al Tech Alert nel portale supporto clienti.

Come l'EDR diventa il vettore: il meccanismo di FalconFlank

Il nocciolo della vulnerabilità risiede nell'architettura di protezione stessa. Il Falcon Sensor include una funzione di remediation per le macro maligne dei file Microsoft Office: quando rileva un documento sospetto, il processo di rimozione opera con privilegi elevati per neutralizzare la minaccia. Chaotic Eclipse ha dimostrato che questo processo può essere manipolato per caricare ed eseguire una DLL arbitraria nel medesimo contesto privilegiato.

La privilege escalation si realizza quindi non attraverso una falla del sistema operativo, ma attraverso il prodotto di sicurezza installato per proteggerlo. Il ricercatore ha specificato che il PoC è testato su Windows 11 25H2 e Windows Server 2025 con la configurazione Phase 3 Optimal Protection, e richiede esplicitamente che la policy "Microsoft Office file malicious macro removal" sia abilitata. La versione esatta del Falcon Sensor vulnerabile non è stata dichiarata.

"FalconFlank is a zero-day privilege escalation that abuses the Office malicious macros remediation in CrowdStrike Falcon Sensor. Obviously by the time I drop this CrowdStrike would already have detections for it so if you want to test you either have to add it to the exclusions or obfuscate the PoC and change the dll load technique" — Chaotic Eclipse, README GitHub

La citazione rivela una consapevolezza operativa: il ricercatore presuppone che il vendor abbia già allertato le proprie difese, suggerendo che il vettore DLL load specifico del PoC possa essere rilevato. Tuttavia, la vulnerabilità sottostante — il fatto che la remediation esegua operazioni controllabili dall'attaccante con privilegi SYSTEM — permane indipendentemente dalla tecnica di caricamento.

Cosa ha risposto CrowdStrike: investigazione e mitigazione temporanea

CrowdStrike ha rilasciato una dichiarazione ufficiale attraverso proprio portavoce, riportata da Infosecurity Magazine e SecurityWeek. L'azienda ha confermato di essere "attivamente al lavoro sulle segnalazioni" e ha fornito indicazione immediata ai clienti.

La mitigazione consiste nella disabilitazione della policy "Microsoft Office File Suspicious Macro Removal Windows". Contemporaneamente, CrowdStrike ha rassicurato che la protezione rimane attiva attraverso il servizio "Cloud Anti-malware for Microsoft Office Files settings". Il Tech Alert denominato FalconFlank è accessibile esclusivamente attraverso il portale supporto dedicato ai clienti, non pubblicamente.

Non è stato assegnato alcun CVE alla vulnerabilità al momento della disclosure. Nessuna fonte riporta l'esistenza di una patch disponibile o in sviluppo. Il dossier non documenta exploit in the wild né attacchi reali sfruttanti la tecnica.

Il pattern Nightmare Eclipse: zero-day multi-vendor come pressione sistemica

FalconFlank non è un evento isolato. Nella stessa finestra temporale, Chaotic Eclipse ha pubblicato zero-day analoghi contro altri vendor di sicurezza: HardBreacher per Kaspersky (patchato il 31 agosto), PrettyPrague per Avast (patchato il 4 settembre) e GreenSection per Nvidia. SecurityWeek ha documentato questa sequenza, inserendola in un pattern di disclosure coordinata.

Il ricercatore — noto anche come Nightmare Eclipse, Infinite Nightmare e MSNightmare — ha già alle spalle una storia documentata di vulnerabilità contro Microsoft Defender. SecurityAffairs ha tracciato questa genealogia: ShieldBreak (CVE-2026-69414, CVSS 7.8 HIGH), Undefend, RedSun e LegacyHive. Il CVE-2026-69414 è catalogato con vettore CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H, confermando la natura di privilege escalation locale con impatto elevato su confidenzialità, integrità e disponibilità.

Questa strategia di disclosure multi-vendor, ravvicinata nel tempo e pubblica, funge da pressione sistemica su un intero settore. Il messaggio è esplicito: i prodotti progettati per proteggere gli endpoint costituiscono essi stesso una superficie di attacco, e la loro architettura ad alta privilegio amplifica il danno potenziale.

Cosa fare adesso

Disabilitare la policy "Microsoft Office File Suspicious Macro Removal Windows" come indicato da CrowdStrike nella dichiarazione ufficiale del 3 settembre 2026.
Verificare che "Cloud Anti-malware for Microsoft Office Files settings" sia attivo per mantenere la protezione antimalware sui documenti Office secondo la configurazione consigliata dal vendor.
Consultare il FalconFlank Tech Alert nel portale supporto CrowdStrike, accessibile solo ai clienti registrati, per eventuali aggiornamenti operativi non pubblici.
Valutare la superficie di esposizione su endpoint Windows 11 25H2 e Windows Server 2025 configurati con Phase 3 Optimal Protection, che rappresentano le condizioni di test dichiarate dal ricercatore.

Il paradosso EDR: quando il guardiano diventa il pericolo

L'incidente FalconFlank si inserisce in una crisi di fiducia più ampia nei prodotti EDR, accelerata dall'incidente di luglio 2024 che aveva già messo in luce i rischi di un'architettura troppo radicata nel sistema. La differenza, ora, è strutturale: non si tratta di un errore di distribuzione, ma di una vulnerabilità progettuale che sfrutta la stessa funzione di remediation.

La conseguenza per le aziende è duplice. Da un lato, la dipendenza da un singolo agente EDR con privilegi SYSTEM espone a un fallimento catastrofico quando quell'agente è compromesso. Dall'altro, la mitigazione richiesta — disabilitare una feature di protezione — introduce un trade-off immediato tra sicurezza funzionale e sicurezza architetturale. Il dossier non documenta alternative di contenimento né strategie di compensazione oltre a quella indicata da CrowdStrike.

L'osservazione di Kevin Beaumont, condivisa su Mastodon nel contesto della disclosure, sintetizza la postura di settore: "An open secret amongst security researchers is most cybersecurity products are crap at cybersecurity". La sua conferma indipendente che "FalconFlank works" — priva di dettagli tecnici ma fondata sulla reputazione del ricercatore — aggiunge credibilità alla minaccia senza dissipare gli unknown che permangono sul meccanismo esatto di caricamento DLL e sulla completezza delle contromisure rilevabili.

Domande e risposte

La vulnerabilità interessa tutte le versioni di Falcon Sensor?: Il dossier non lo specifica. Chaotic Eclipse ha testato il PoC su Windows 11 25H2 e Windows Server 2025 con configurazione Phase 3 Optimal Protection. Non emergono informazioni su altre versioni di Windows, configurazioni diverse o edizioni precedenti del sensore.
È necessario disabilitare completamente la protezione macro di CrowdStrike?: CrowdStrike ha indicato esclusivamente la disabilitazione della policy "Microsoft Office File Suspicious Macro Removal Windows", non della protezione macro in toto. Ha precisato che "Cloud Anti-malware for Microsoft Office Files settings" mantiene la copertura.
Il ricercatore ha coordinato la disclosure con il vendor?: Il brief non documenta alcun processo di responsible disclosure. La pubblicazione del PoC avviene come zero-day pubblico, con il ricercatore che anticipa consapevolmente l'esistenza di possibili rilevazioni da parte di CrowdStrike.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter