Un zero-day FalconFlank élève les privilèges en SYSTEM sur des postes protégés par CrowdStrike
Un chercheur publie FalconFlank, un zero-day qui détourne la remédiation des macros Office de CrowdStrike Falcon pour obtenir les privilèges SYSTEM sur des Windows 11 et Server à jour. Désactivez la stratégie de suppression des macros suspectes en attendant le correctif officiel.
4 septembre 2026. Un chercheur anonyme connu sous le pseudonyme « Nightmare Eclipse » publie FalconFlank, un zero-day d’élévation de privilèges contre CrowdStrike Falcon. L’exploit fonctionne sur des Windows 11 25H2 et Windows Server 2025 entièrement à jour, équipés de la plateforme de sécurité de l’éditeur. Pourquoi c’est important : ce n’est pas un poste mal protégé qui est visé — c’est l’outil de défense lui-même qui devient la surface d’attaque.
Un zero-day dans le produit de sécurité lui-même
FalconFlank permet à un attaquant disposant déjà d’un accès sur la machine d’ouvrir une invite de commandes avec les privilèges SYSTEM. La faille n’a pas encore de CVE, mais son existence est confirmée : le chercheur en cybersécurité Kevin Beaumont a vérifié le jeudi 4 septembre que l’exploit est réel et fonctionnel.
Le point qui change la donne n’est pas l’élévation de privilèges en soi — c’est une classe de faille connue. C’est que le vecteur réside dans CrowdStrike Falcon, le capteur déployé sur des millions de postes pour les protéger. Un EDR tourne avec les privilèges les plus élevés du système : une faille qui s’y cache ne contourne pas la défense, elle la retourne contre la machine.
Nightmare Eclipse résume la situation sans détour : « FalconFlank est un 0day d’élévation de privilèges qui abuse la remédiation des macros malveillantes d’Office dans le capteur Crowdstrike Falcon. » Le chercheur précise que, le temps de sa publication, CrowdStrike disposerait probablement déjà de détections — pour tester l’exploit, il faut soit l’ajouter aux exclusions, soit obfusquer le PoC et changer la technique de chargement de DLL.
Le vecteur : la remédiation des macros Office
Le mécanisme exploité est une fonctionnalité légitime de Falcon : la remédiation des macros malveillantes d’Office. Quand le capteur détecte une macro suspecte dans un document, il peut la supprimer automatiquement. C’est précisément cette capacité de traitement — qui agit sur les fichiers au niveau système — que FalconFlank détourne pour exécuter du code avec les droits SYSTEM.
Cette configuration est loin d’être marginale. La réponse de CrowdStrike tient en une recommandation immédiate : désactiver la stratégie Windows « File Suspicious Macro Removal » (suppression des macros suspectes des fichiers Office). L’éditeur précise que les clients restent protégés par le réglage « Cloud Anti-malware for Microsoft Office Files », et renvoie vers une Tech Alert FalconFlank — un bulletin non public, accessible uniquement via le portail de support avec un compte client.
Un correctif n’est donc pas encore annoncé, et le bulletin détaillé n’est pas public. Pour un RSSI, la conséquence est immédiate : la mitigation passe par un changement de configuration, pas par une mise à jour signée.
# Désactiver la remédiation des macros suspectes en attendant le correctif
# Stratégie : Microsoft Office > File Suspicious Macro Removal -> DisabledLa réponse de CrowdStrike
CrowdStrike indique à BleepingComputer « enquêter activement sur ces affirmations » et conseiller aux clients de désactiver la stratégie concernée. L’éditeur n’a pas répondu à une seconde demande portant sur une copie publique de la Tech Alert et sur l’attribution éventuelle d’un CVE à FalconFlank.
Cette discrétion est compréhensible — un bulletin détaillé donnerait un mode d’emploi aux attaquants — mais elle place les équipes de défense dans une position inconfortable : appliquer une mitigation sans connaître la nature exacte de la faille, sur la foi d’une alerte non publique. C’est le miroir de la situation vécue cette semaine par Plex, qui a lui aussi demandé des mises à jour « à l’aveugle ».
Pourquoi une élévation dans l’EDR est si grave
La gravité de FalconFlank tient à la position de Falcon dans le système. Le capteur tourne avec les privilèges les plus élevés et voit tout : une élévation qui passe par lui offre à l’attaquant plus que des droits administrateur — elle lui donne un moyen de désactiver ou d’aveugler la défense depuis l’intérieur.
Concrètement, la chaîne d’exploitation suppose un point d’ancrage préalable : FalconFlank ne fournit pas l’accès initial, il transforme un accès limité en contrôle SYSTEM. C’est la brique qui manque ensuite pour désactiver les protections, exfiltrer des données et persister sans être détecté.
Ce n’est pas la première fois que la position privilégiée de Falcon se rappelle au monde. En juillet 2024, une mise à jour défectueuse du capteur a provoqué un écran bleu massif sur des millions de postes Windows, interrompant des compagnies aériennes et des hôpitaux. Un composant capable d’affecter un système à ce point est, par symétrie, un composant dont une faille a des conséquences proportionnelles.
Un chercheur qui multiplie les zero-days
FalconFlank n’est pas un cas isolé. La même semaine, Nightmare Eclipse a publié d’autres exploits d’élévation de privilèges : HardBreacher contre Kaspersky Antivirus for Endpoint, PrettyPrague contre Avast de GenDigital, et GreenSection, un déni de service contre Nvidia qui fait planter le système.
Depuis avril 2026, le même chercheur a divulgué une série de zero-days visant des produits Microsoft — Defender, BitLocker et divers composants Windows — connus sous les noms LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma et UnDefend. Certains ont été corrigés ; d’autres restent des zero-days en attente de correctif. Microsoft a répondu aux premières divulgations par des mises en garde juridiques contre « les activités malveillantes causant un préjudice réel à nos clients ».
Ce qui se dessine est une campagne de divulgation systématique ciblant les produits de sécurité eux-mêmes, et non plus les seules applications métier. Pour un défenseur, le signal est clair : le périmètre des zero-days s’est déplacé vers les outils censés le défendre.
Ce que ça change pour les équipes sécurité
La leçon de FalconFlank n’est pas « désinstallez votre EDR » — elle est que l’EDR est un logiciel comme un autre, avec des privilèges plus élevés que les autres. Trois conséquences concrètes en découlent.
Premièrement, réduire la surface de configuration : toute fonctionnalité qui agit sur les fichiers ou exécute du code au niveau système est une surface d’attaque. La remédiation des macros, les moteurs de décompression, les modules d’inspection de contenu — chacun mérite d’être désactivé s’il n’est pas indispensable.
Deuxièmement, surveiller les changements de politique : une mitigation comme celle-ci passe par un réglage de stratégie. Une CMDB ou une surveillance de configuration permet de vérifier que le correctif de configuration est bien déployé partout, et pas seulement sur les postes visibles.
Troisièmement, traiter les alertes internes à l’EDR avec sérieux : une élévation de privilèges exploitant Falcon peut se manifester par des comportements inhabituels du capteur lui-même, avant même l’action malveillante finale.
Verdict
Si vous exploitez CrowdStrike Falcon sur Windows, désactivez immédiatement la stratégie « File Suspicious Macro Removal » des fichiers Office et gardez actif le réglage Cloud Anti-malware — puis suivez la Tech Alert FalconFlank dans le portail de support.
Si vous ne pouvez pas désactiver cette stratégie pour des raisons métier, durcissez les contrôles en amont : limitation des macros à des emplacements de confiance et surveillance rapprochée des élévations de privilèges sur les postes critiques.
Si vous voulez réduire le risque structurel, appliquez la règle générale : un EDR est un composant à privilèges élevés, pas un totem — réduisez ses fonctionnalités non essentielles et traitez ses mises à jour et ses alertes avec la même rigueur que celles du système qu’il protège.