Ein anonymer Sicherheitsforscher, der unter dem Pseudonym „Nightmare Eclipse“ auftritt, hat einen Zero-Day-Exploit für die EDR-Plattform CrowdStrike Falcon veröffentlicht. Der Exploit namens „FalconFlank“ ermöglicht es Angreifern, auf vollständig aktualisierten Windows-Systemen – einschließlich Windows 11 25H2 und Windows Server 2025 – ihre Rechte auf das höchste SYSTEM-Niveau auszuweiten. Die Verwundbarkeit ist bisher ohne CVE-ID und nutzt eine Funktion zur Bereinigung bösartiger Office-Makros aus.
FalconFlank im Detail: Missbrauch der Makro-Bereinigung
Der Exploit greift auf die Funktion „File Suspicious Macro Removal“ von CrowdStrike Falcon zu, die eigentlich schädliche Makros in Microsoft Office-Dokumenten erkennen und entfernen soll. Nightmare Eclipse demonstrierte, dass sich dieser Mechanismus umkehren lässt: Statt Makros zu blockieren, kann ein Angreifer eine DLL-Injection durchführen und eine Eingabeaufforderung mit SYSTEM-Privilegien starten. Der Forscher veröffentlichte den Proof-of-Concept auf GitHub und wies darauf hin, dass CrowdStrike nach der Offenlegung umgehend Erkennungsregeln bereitstellen werde. „Wer den Exploit testen möchte, muss ihn entweder in die Ausschlussliste aufnehmen oder die DLL-Ladetechnik verschleiern“, erklärte Nightmare Eclipse in der Veröffentlichung.
Betroffene Systeme und CrowdStrikes Reaktion
Laut dem Forscher funktioniert FalconFlank auf vollständig gepatchten Installationen von Windows 11 25H2 und Windows Server 2025, auf denen die aktuelle Version von CrowdStrike Falcon läuft. CrowdStrike bestätigte gegenüber der Redaktion, dass man die Vorwürfe untersuche. Das Unternehmen riet Kunden, die Windows-Richtlinie „File Suspicious Macro Removal“ zu deaktivieren. „Kunden bleiben durch die Cloud-Antimalware für Microsoft Office-Dateien geschützt“, teilte ein Sprecher mit. Ein interner Tech-Alert im CrowdStrike-Supportportal ist für Kunden mit Zugang einsehbar, eine öffentliche Stellungnahme oder eine CVE-ID liegen noch nicht vor.
Weitere Zero-Day-Exploits von Nightmare Eclipse
Der Forscher veröffentlichte parallel drei weitere Zero-Day-Exploits: HardBreacher für Kaspersky Antivirus for Endpoint, PrettyPrague für GenDigital Avast Antivirus (beide ebenfalls zur Rechteausweitung) sowie GreenSection für Nvidia, das einen Denial-of-Service auslöst und das System zum Absturz bringt. Der Cybersicherheitsexperte Kevin Beaumont bestätigte, dass alle drei Exploits funktionieren. Damit hat Nightmare Eclipse innerhalb weniger Tage eine Vielzahl von Sicherheitslücken in führenden Sicherheitsprodukten offengelegt.
Die Serie der Microsoft-Zero-Days
Seit April 2026 hat der Forscher außerdem eine Reihe von Zero-Day-Exploits gegen Microsoft-Produkte veröffentlicht – darunter LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma und UnDefend. Diese Angriffe zielen auf Microsoft Defender, BitLocker, das Windows-Registry-System und andere Komponenten ab. Während Microsoft die ersten fünf Lücken inzwischen gepatcht hat, bleiben BlueHammer, RedSun, MiniPlasma und UnDefend weiterhin ungepatcht. Die Veröffentlichung dieser Exploits stieß bei Microsoft auf scharfe Kritik. Das Unternehmen drohte rechtliche Schritte gegen Personen an, die „böswillige Aktivitäten mit echtem Schaden für Kunden“ betreiben. Viele Beobachter sahen darin eine direkte Warnung an Nightmare Eclipse.
Warum die Exploit-Welle ein Umdenken erzwingt
Die Häufung von Zero-Day-Angriffen auf genau jene Sicherheitslösungen, die Unternehmen zum Schutz einsetzen, zeigt ein grundlegendes Dilemma: EDR- und Antivirensoftware selbst wird zur Angriffsfläche. FalconFlank demonstriert, dass selbst die Bereinigung von Makros, eine Kernfunktion moderner Endpunktsicherheit, missbraucht werden kann. CrowdStrikes Rat, die betroffene Windows-Richtlinie zu deaktivieren, ist eine kurzfristige Notlösung – sie schaltet eine Schutzfunktion ab, die viele Unternehmen gezielt aktiviert haben. Die Angriffe von Nightmare Eclipse legen offen, dass Sicherheitsprodukte nicht nur Angreifer abwehren, sondern auch als Vehikel für Privilege Escalation dienen können. Unternehmen müssen ihre Verteidigungsstrategie daher umfassender denken: Neben der reinen Softwarehärtung sind Netzwerksegmentierung, Least-Privilege-Prinzipien und manuelle Überwachung kritischer Prozesse unverzichtbar. Die kommenden Monate werden zeigen, ob die Hersteller ihre Produkte grundlegend nachbessern oder ob die Zahl der Zero-Day-Exploits in Sicherheitssoftware weiter ansteigt.
