FalconFlank: PoC 0-day contro CrowdStrike Falcon, disabilitare…

Nightmare Eclipse ha pubblicato FalconFlank, un PoC di privilege escalation che abusa la funzione di rimozione macro di CrowdStrike Falcon. Il vendor consente di

Nightmare Eclipse ha pubblicato il 3 settembre 2026 il proof-of-concept FalconFlank, una vulnerabilità zero-day che trasforma in vettore di attacco la funzione di rimozione macro sospette di CrowdStrike Falcon Sensor. Il ricercatore, noto per precedenti disclosure su prodotti Microsoft, ha ora espanso il proprio obiettivo all'intero ecosistema endpoint security, con conseguenze immediate per le aziende che utilizzano la piattaforma in configurazione Phase 3 - Optimal Protection.

Punti chiave

Nightmare Eclipse ha rilasciato il PoC FalconFlank per CrowdStrike Falcon Sensor: una privilege escalation che abusa la logica di rimozione macro sospette in documenti Microsoft Office
L'exploit è confermato funzionante su Windows 11 25H2 e Windows Server 2025 fully patched, con Falcon configurato in Phase 3 - Optimal Protection e la feature macro removal abilitata
CrowdStrike ha confermato l'indagine in corso e ha emesso il FalconFlank Tech Alert nel proprio support portal, con indicazione di disabilitare la policy Microsoft Office File Suspicious Macro Removal Windows
Il ricercatore ha dichiarato intenzione sistematica di pubblicare vulnerabilità per vendor di sicurezza endpoint diversi da Microsoft, citando problemi ricorrenti nella qualità del secure-by-design

Come funziona l'abuso della remediation macro

Secondo il README pubblicato su GitHub, FalconFlank è descritta come "a 0-day privilege escalation that abuses the office malicious macros remediation in CrowdStrike Falcon Sensor". La tecnica inverte il flusso di una funzione di difesa: il componente che dovrebbe ispezionare e neutralizzare macro malevole in documenti Office viene manipolato per elevare privilegi sul sistema.

Le condizioni di exploit sono circoscritte ma realistiche per installazioni enterprise. Il PoC funziona su Windows 11 25H2 e Windows Server 2025 in stato fully patched, con CrowdStrike Falcon Sensor configurato al livello Phase 3 - Optimal Protection e con la policy Microsoft Office File Suspicious Macro Removal Windows attiva. Il ricercatore ha precisato che CrowdStrike avrebbe già detection per la versione pubblica del PoC, indicando che la tecnica specifica è rilevabile ma la classe di vulnerabilità potrebbe essere variata.

L'osservazione nel README è significativa: "Obviously by the time I drop this Crowdstrike would already have detections for it so if you want to test you either have to add it to the exclusions or obfuscate the PoC and change the dll load technique". Questo conferma che la logica di attacco si fonda probabilmente su manipolazione del caricamento DLL nel flusso di remediation, un pattern ricorrente nei prodotti di sicurezza che operano a elevata integrazione col sistema.

Kinda makes sense they'd branch out to other vendors as there's problems across the endpoint security space with the quality of the security products in terms of…security unfortunately — Kevin Beaumont

La conferma di CrowdStrike e la mitigazione temporanea

CrowdStrike ha reagito con un doppio canale: pubblicamente, tramite portavoce; operativamente, tramite il FalconFlank Tech Alert nel support portal riservato ai clienti. Il portavoce ha dichiarato: "We are actively investigating these claims and advise customers to disable the Microsoft Office File Suspicious Macro Removal Windows policy setting". La stessa fonte ha aggiunto che "Customers remain protected through the Cloud Anti-malware for Microsoft Office Files settings", suggerendo che la disabilitazione della policy specifica non lasci il sistema completamente scoperto.

La raccomandazione del vendor è chiara: la disabilitazione della policy è una mitigazione temporanea, non una soluzione definitiva. Nessuna fonte nel dossier indica rilascio di patch automatica o intervento correttivo già completato. Il mancato riferimento a CVE assegnato — verificato esplicitamente da SecurityOnline.info — conferma che la vulnerabilità non ha ancora identificatore pubblico nel registro MITRE.

Kevin Beaumont, figura consolidata nella community di sicurezza, ha testato personalmente l'exploit e ne ha confermato il funzionamento, citato da The Register. La convergenza tra la pubblicazione del ricercatore, la conferma indipendente e la risposta del vendor costituisce una triangolazione sufficiente a stabilire l'esistenza effettiva della vulnerabilità, pur nei limiti di verificabilità che il dossier documenta.

Da Microsoft a tutto l'endpoint security: il pivot sistemico

Nightmare Eclipse non è un nome nuovo. Attivo precedentemente con alias Chaotic Eclipse, Infinite Nightmare e MSNightmare, il ricercatore ha costruito una track record di disclosure su prodotti Microsoft. Il pivot avviene con pubblica dichiarazione di intenti. In un post del 14 agosto 2026 citato da The Hacker News, Chaotic Eclipse ha scritto: "Think I will start publishing bugs for third-parties in that window where Patch Tuesday isn't released yet".

La dichiarazione rivela una strategia deliberata: sfruttare la finestra temporale tra la scoperta e il ciclo di patch mensile per massimizzare l'impatto mediatico e operativo. Il ricercatore ha già eseguito questa strategia con PoC per prodotti non-Microsoft: HardBreacher (Kaspersky), PrettyPrague (Avast) e GreenSection (NVIDIA), tutti citati nelle fonti primarie.

Il movente dichiarato è esplicito e legge la crisi di settore: problemi di qualità nella sicurezza dei prodotti endpoint che dovrebbero proteggere. La frase del ricercatore, riportata da The Hacker News, non lascia ambiguità sulla natura sistemica dell'operazione. Il fenomeno non è più la singola vulnerabilità ma il crollo della fiducia nella supply chain della sicurezza stessa.

Cosa fare adesso

Per le organizzazioni che utilizzano CrowdStrike Falcon Sensor, le azioni prioritarie derivano direttamente dal dossier:

Verificare immediatamente lo stato della policy Microsoft Office File Suspicious Macro Removal Windows e disabilitarla se attiva, seguendo la raccomandazione del vendor
Consultare il FalconFlank Tech Alert nel support portal CrowdStrike per aggiornamenti operativi dall'indagine in corso
Confermare che la protezione Cloud Anti-malware for Microsoft Office Files resti attiva, citata da CrowdStrike come layer difensivo rimanente
Monitorare l'eventuale assegnazione di identificatore CVE e il rilascio di patch ufficiale, dato che nessuna fonte indica fix disponibile al momento

I limiti del dossier e le incognite residue

Il dossier presenta confini netti che non è possibile oltrepassare senza violare i vincoli di fonte. Non emerge se la vulnerabilità sia effettivamente uno zero-day non patchato o se CrowdStrike abbia già rilasciato correzioni silenziose non documentate. Il vettore CVSS preciso e la gravità ufficiale sono assenti: nessuna fonte riporta punteggio o severità catalogata.

Non è documentato se l'exploit sia stato utilizzato in-the-wild prima della pubblicazione del PoC. Il numero di sistemi o clienti potenzialmente esposti non è stimabile dalle fonti disponibili. Resta inoltre non verificato se la tecnica funzioni con configurazioni Falcon diverse da Phase 3 - Optimal Protection o con versioni di Windows precedenti alla 25H2.

Perché questo caso segnala una crisi più ampia

La pubblicazione di FalconFlank non è un evento isolato ma la punta di un pattern che mette in discussione l'architettura stessa dei prodotti endpoint. Quando un meccanismo di remediation — progettato per neutralizzare minacce — diviene il veicolo di privilege escalation, il problema trascende la singola implementazione e interroga il paradigma del secure-by-design nell'industria EDR.

Il ricercatore ha reso esplicito ci che molti operatori sospettavano: la superficie di attacco dei tool di sicurezza è spesso sottostimata, e la loro integrazione profonda col sistema operativo — necessaria per la visibilità — genera rischi proporzionali. La reazione di CrowdStrike, rapida nel consigliare la disabilitazione della feature, conferma la gravità concreta della classe di vulnerabilità.

L'espansione del target da Microsoft a vendor eterogenei trasforma il fenomeno da competizione bilaterale a critica sistemica. Per le aziende, l'implicazione è che la selezione di un prodotto EDR non può più fondarsi esclusivamente su reputazione o market share: la qualità del secure-by-design, verificabile solo attraverso scrutiny indipendente, diviene un criterio di valutazione primario.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter