Ein neuer Zero-Daya-Exploit namens FalconFlank bedroht die Endpunktsicherheitslösung CrowdStrike Falcon. Der als Chaotic Eclipse bekannte Sicherheitsforscher veröffentlichte einen Proof-of-Concept (PoC), der eine Privilegieneskalation auf vollständig aktualisierten Windows‑11‑25H2‑ und Windows‑Server‑2025‑Systemen auslöst. Die Schwachstelle missbraucht die in den CrowdStrike‑Falcon‑Sensor integrierte Abwehrmechanik gegen schadhafte Office‑Makros.
FalconFlank: Zero-Day-Exploit für CrowdStrike Falcon veröffentlicht
Der Sicherheitsforscher Chaotic Eclipse, der auch unter den Pseudonymen INFINITE NIGHTMARE, MSNightmare und Nightmare‑Eclipse auftritt, hat auf GitHub eine technische Beschreibung und einen PoC für eine neue Sicherheitslücke bereitgestellt. In der README‑Datei erklärt er, dass der Exploit die Office‑Malware‑Makro‑Remediation in CrowdStrike Falcon ausnutzt, um privilegierten Code auszuführen. Er räumt ein, dass CrowdStrike möglicherweise bereits Erkennungsregeln für diese Angriffstechnik implementiert hat. Wer den PoC testen wolle, müsse die entsprechende Regel entweder ausschließen oder den Ladevorgang der DLL verschleiern.
Der Exploit funktioniert nach Angaben des Forschers auf einer vollständig aktualisierten Windows‑11‑25H2‑Maschine sowie auf Windows Server 2025 mit installiertem CrowdStrike‑Sensor. Eine Stellungnahme von CrowdStrike zu der Schwachstelle liegt bislang nicht vor. Der Vorfall reiht sich in eine Serie von Zero‑Day‑Veröffentlichungen ein, die derselbe Forscher in den vergangenen Wochen bekannt gegeben hat.
Technische Funktionsweise der Schwachstelle
FalconFlank gehört zur Kategorie der lokalen Privilegieneskalationen und nutzt einen Mechanismus, der eigentlich schadhafte Makros in Office‑Dokumenten unterbinden soll. CrowdStrike Falcon überwacht und unterbricht verdächtige Makroaktivitäten. Der Exploit manipuliert diesen Remediation‑Pfad derart, dass ein Angreifer ohne ausreichende Berechtigungen auf Systemebene operieren kann. Durch geschickte Ausnutzung der Reaktionskette des Sensors wird letztlich eine DLL mit SYSTEM‑Rechten geladen oder eine entsprechende Datei in geschützte Systemverzeichnisse geschrieben.
Die genaue Vorgehensweise ist im veröffentlichten PoC dokumentiert. Interessant ist, dass CrowdStrike die Schwachstelle möglicherweise bereits durch Verhaltensanalyse erkennen kann, der Forscher jedoch einen Weg gefunden hat, diese Erkennung zu umgehen. Für Unternehmen, die CrowdStrike Falcon einsetzen, besteht damit akuter Handlungsbedarf, die Sicherheitskonfiguration zu überprüfen und gegebenenfalls temporäre Maßnahmen zu ergreifen, bis ein offizieller Patch vorliegt.
Weitere Zero-Days: HardBreacher und ShieldBreak
Chaotic Eclipse hat wenig zuvor auch einen Exploit namens HardBreacher für das Kaspersky Endpoint Security Produkt (Version 14.0.0.504) veröffentlicht. Der PoC ist nach eigenen Worten „nicht im besten Zustand“, sondern funktioniere nur nach mehreren Wiederholungen. Gelänge der Angriff, werde eine DLL in C:\Windows\System32\MY_SNAKE_IS_SOLID.dll abgelegt, auf die der aktuelle Benutzer volle Zugriffsrechte erhält. Der Forscher betont, dass Kaspersky die Kontrolle über den UI‑Prozess verliert, sodass der gesamte Betreibssytemzstzand instabil werden kann.
Bereits im August 2026 veröffentlichte der Forscher den Shield‑Break‑Exploit (CVE‑2026‑69414) für Microsoft Defender, der einem Angreifer die Ausführung von beliebigem Code mit NT AUTHORITY\SYSTEM‑Berechtigungen ermöglcht. Dieser Exploit umgeht einen kürzlich gepatchten Fehler (CVE‑2026‑50656, genannt RoguePlanet). LevelBlue beschrieb, wie ShieldBreak die Cloud‑Files‑API, die Objektmanager‑Namespace‑Manipulation und eine Timing‑Race‑Condition in der Bereinigungspfad von Defender kombiniert, um eine eigene DLL in System32 zu schreiben und schließlich über den integrierten Windows‑Fehlerberichtsdienst SYSTEM‑Berechtigungen zu erlangen.
Hintergrund: Forscher kritisiert mangelnde Kommunikation mit Microsoft
Chaotic Eclipse wirft Microsoft vor, jegliche Kommunikation zu verweigern und ihn öffentlich zu disktreditieren. In einem Blogbeitrag von Mitte August 2026 schreibt er, er könne wegen der von Microsoft auferlegten Einschränkungen keine Sicherheitslücken anderer Hersteller mehr melden. Er droht, künftig Bugs für Drittanbieter in dem Zaitfenster zwischen Patch‑Tuesday‑Veröffentlichungen zu pubblizieren – also bevor ein offizielle Patch verfügbar ist. Die Krütik zielt auf das Verhaltn von Microsoft ab, das nach seiner Darstellung den konstruktiven Dialog verweigert.
Die Serie von Zero‑Day‑Veröffentlichungen zeigt, wie angespannt das Verhältnis zwischen unabhängigen Sicherheitsforschern und großen Softwareherstellern sein kann. Während die Offenlegung von Schwachstellen grundsätzlich die Transparenz und Sicherheit erhöht, bleibt die fehlende Reaktion von Microsoft auf die Forscheranliegen problematisch.
Implikationen und Ausblik
Die Offenlegung von FalconFlank, HardBreacher und ShieldBreak unterstreicht die anhaltende Verwundbarkeit selbst moderner Endpunktschuzlösungen. Unternehmen, die CrowdStrike Falcon, Kaspersky oder Windows Defender einsetzen, sollten die aktuellen Advissories des Forschers zur Kenntnis nehmen und ihre Systeme umgehend prüfen. Insbesondre die in den PoCs beschriebenen Techniken – Manipulation der Remediation‑Pfade, Ausnutzung von Rennbedingungen und Missbrauch des Objektmanagers – sind nicht auf einzelne Anbieter beschränkt. Sie zeigen grundlegende Schwachstellen in der Architektur von Sicherheitssoftware auf, die von Angreifern gezielt ausgebeutet werden könnten. Bis die Hersteller umfassende Patches bereitstellen, ist ein risikobasiertes Monitoring und die restriktive Vergabe von Berechtigungen die dringendste Maßnahme.
