Ein anonymer Sicherheitsforscher, der unter dem Pseudonym \u201eNightmare Eclipse\u201c auftritt, hat einen Zero-Day-Exploit f\u00fcr die EDR-Plattform CrowdStrike Falcon ver\u00f6ffentlicht. Der Exploit namens \u201eFalconFlank\u201c erm\u00f6glicht es Angreifern, auf vollst\u00e4ndig aktualisierten Windows-Systemen \u2013 einschlie\u00dflich Windows 11 25H2 und Windows Server 2025 \u2013 ihre Rechte auf das h\u00f6chste SYSTEM-Niveau auszuweiten. Die Verwundbarkeit ist bisher ohne CVE-ID und nutzt eine Funktion zur Bereinigung b\u00f6sartiger Office-Makros aus.<\/p>\n
Der Exploit greift auf die Funktion \u201eFile Suspicious Macro Removal\u201c von CrowdStrike Falcon zu, die eigentlich sch\u00e4dliche Makros in Microsoft Office-Dokumenten erkennen und entfernen soll. Nightmare Eclipse demonstrierte, dass sich dieser Mechanismus umkehren l\u00e4sst: Statt Makros zu blockieren, kann ein Angreifer eine DLL-Injection durchf\u00fchren und eine Eingabeaufforderung mit SYSTEM-Privilegien starten. Der Forscher ver\u00f6ffentlichte den Proof-of-Concept auf GitHub und wies darauf hin, dass CrowdStrike nach der Offenlegung umgehend Erkennungsregeln bereitstellen werde. \u201eWer den Exploit testen m\u00f6chte, muss ihn entweder in die Ausschlussliste aufnehmen oder die DLL-Ladetechnik verschleiern\u201c, erkl\u00e4rte Nightmare Eclipse in der Ver\u00f6ffentlichung.<\/p>\n
Laut dem Forscher funktioniert FalconFlank auf vollst\u00e4ndig gepatchten Installationen von Windows 11 25H2 und Windows Server 2025, auf denen die aktuelle Version von CrowdStrike Falcon l\u00e4uft. CrowdStrike best\u00e4tigte gegen\u00fcber der Redaktion, dass man die Vorw\u00fcrfe untersuche. Das Unternehmen riet Kunden, die Windows-Richtlinie \u201eFile Suspicious Macro Removal\u201c zu deaktivieren. \u201eKunden bleiben durch die Cloud-Antimalware f\u00fcr Microsoft Office-Dateien gesch\u00fctzt\u201c, teilte ein Sprecher mit. Ein interner Tech-Alert im CrowdStrike-Supportportal ist f\u00fcr Kunden mit Zugang einsehbar, eine \u00f6ffentliche Stellungnahme oder eine CVE-ID liegen noch nicht vor.<\/p>\n
Der Forscher ver\u00f6ffentlichte parallel drei weitere Zero-Day-Exploits: HardBreacher<\/strong> f\u00fcr Kaspersky Antivirus for Endpoint, PrettyPrague<\/strong> f\u00fcr GenDigital Avast Antivirus (beide ebenfalls zur Rechteausweitung) sowie GreenSection<\/strong> f\u00fcr Nvidia, das einen Denial-of-Service ausl\u00f6st und das System zum Absturz bringt. Der Cybersicherheitsexperte Kevin Beaumont best\u00e4tigte, dass alle drei Exploits funktionieren. Damit hat Nightmare Eclipse innerhalb weniger Tage eine Vielzahl von Sicherheitsl\u00fccken in f\u00fchrenden Sicherheitsprodukten offengelegt.<\/p>\n Seit April 2026 hat der Forscher au\u00dferdem eine Reihe von Zero-Day-Exploits gegen Microsoft-Produkte ver\u00f6ffentlicht \u2013 darunter LegacyHive<\/strong>, RoguePlanet<\/strong>, BlueHammer<\/strong>, RedSun<\/strong>, YellowKey<\/strong>, GreenPlasma<\/strong>, MiniPlasma<\/strong> und UnDefend<\/strong>. Diese Angriffe zielen auf Microsoft Defender, BitLocker, das Windows-Registry-System und andere Komponenten ab. W\u00e4hrend Microsoft die ersten f\u00fcnf L\u00fccken inzwischen gepatcht hat, bleiben BlueHammer, RedSun, MiniPlasma und UnDefend weiterhin ungepatcht. Die Ver\u00f6ffentlichung dieser Exploits stie\u00df bei Microsoft auf scharfe Kritik. Das Unternehmen drohte rechtliche Schritte gegen Personen an, die \u201eb\u00f6swillige Aktivit\u00e4ten mit echtem Schaden f\u00fcr Kunden\u201c betreiben. Viele Beobachter sahen darin eine direkte Warnung an Nightmare Eclipse.<\/p>\n Die H\u00e4ufung von Zero-Day-Angriffen auf genau jene Sicherheitsl\u00f6sungen, die Unternehmen zum Schutz einsetzen, zeigt ein grundlegendes Dilemma: EDR- und Antivirensoftware selbst wird zur Angriffsfl\u00e4che. FalconFlank demonstriert, dass selbst die Bereinigung von Makros, eine Kernfunktion moderner Endpunktsicherheit, missbraucht werden kann. CrowdStrikes Rat, die betroffene Windows-Richtlinie zu deaktivieren, ist eine kurzfristige Notl\u00f6sung \u2013 sie schaltet eine Schutzfunktion ab, die viele Unternehmen gezielt aktiviert haben. Die Angriffe von Nightmare Eclipse legen offen, dass Sicherheitsprodukte nicht nur Angreifer abwehren, sondern auch als Vehikel f\u00fcr Privilege Escalation dienen k\u00f6nnen. Unternehmen m\u00fcssen ihre Verteidigungsstrategie daher umfassender denken: Neben der reinen Softwareh\u00e4rtung sind Netzwerksegmentierung, Least-Privilege-Prinzipien und manuelle \u00dcberwachung kritischer Prozesse unverzichtbar. Die kommenden Monate werden zeigen, ob die Hersteller ihre Produkte grundlegend nachbessern oder ob die Zahl der Zero-Day-Exploits in Sicherheitssoftware weiter ansteigt.<\/p>\n","protected":false},"excerpt":{"rendered":" Ein anonymer Sicherheitsforscher, der unter dem Pseudonym \u201eNightmare Eclipse\u201c auftritt, hat einen Zero-Day-Exploit f\u00fcr die EDR-Plattform CrowdStrike Falcon ver\u00f6ffentlicht. Der Exploit namens \u201eFalconFlank\u201c erm\u00f6glicht es Angreifern, auf vollst\u00e4ndig aktualisierten Windows-Systemen \u2013 einschlie\u00dflich Windows 11 25H2 und Windows Server 2025 \u2013 ihre Rechte auf das h\u00f6chste SYSTEM-Niveau auszuweiten. Die Verwundbarkeit ist bisher ohne CVE-ID und nutzt […]<\/p>\n","protected":false},"author":5,"featured_media":54858,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51425.png","fifu_image_alt":"CrowdStrike-FalconFlank-Zero-Day gew\u00e4hrt SYSTEM-Rechte","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51425","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51425.png","fifu_image_alt":"CrowdStrike-FalconFlank-Zero-Day gew\u00e4hrt SYSTEM-Rechte","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51425","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51425"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51425\/revisions"}],"predecessor-version":[{"id":51428,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51425\/revisions\/51428"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54858"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51425"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51425"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51425"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Die Serie der Microsoft-Zero-Days<\/h3>\n
Warum die Exploit-Welle ein Umdenken erzwingt<\/h2>\n