Votre plateforme de détection et de réponse en endpoints (EDR) est censée être la dernière ligne de défense. Elle surveille vos endpoints, bloque les menaces et remédie aux malwares. Elle est ce qui se dresse entre vous et une brèche.
Imaginez maintenant que cette sentinelle se retourne et remette à un attaquant les clés de tout votre réseau.
Ce n'est pas une hypothèse. C'est FalconFlank — une vulnérabilité d'élévation de privilèges zero-day dans CrowdStrike Falcon Sensor qui permet à un utilisateur local à faibles privilèges d'atteindre NT AUTHORITY\SYSTEM sur des Windows 11 et Windows Server 2025 entièrement mis à jour. Pas de CVE. Pas de correctif. Un proof-of-concept fonctionnel publié sur GitHub à la portée de tous.
Votre EDR est désormais le vecteur d'attaque.
Ce qui s'est passé
Le 3 septembre 2026, un chercheur en sécurité opérant sous le pseudonyme Chaotic Eclipse (également connu sous les noms INFINITE NIGHTMARE, MSNightmare et Nightmare-Eclipse) a publié un exploit de proof-of-concept sur GitHub. La cible : CrowdStrike Falcon Sensor, l'une des solutions EDR les plus déployées dans le monde de l'entreprise.
L'exploit, baptisé FalconFlank, abuse d'une fonctionnalité spécifique du Falcon Sensor : la stratégie Microsoft Office File Suspicious Macro Removal. Il s'agit d'une fonction de remédiation conçue pour protéger les endpoints des malwares basés sur les macros — l'un des vecteurs d'accès initial les plus courants dans le paysage des menaces.
Voici l'ironie qui devrait empêcher chaque CISO de dormir ce soir : la fonction conçue pour supprimer les macros malveillantes est exactement le mécanisme que FalconFlank arme pour planter une DLL malveillante dans un répertoire système protégé.
Comment cela fonctionne
Le déroulement de l'attaque est d'une simplicité élégante :
- Un attaquant obtient une exécution de code locale à faibles privilèges sur un endpoint cible (par hameçonnage, un autre exploit ou tout vecteur d'accès initial standard)
- L'attaquant place un fichier OLE spécialement conçu dans le répertoire d'application de PowerShell v1.0
- Lorsque le moteur de remédiation de macros du Falcon Sensor traite le fichier, il écrit une DLL (bcrypt.dll) dans C:\Windows\System32\WindowsPowerShell\v1.0\
- Comme l'opération d'écriture se produit dans le contexte SYSTEM (le pipeline de remédiation de Falcon lui-même s'exécute avec élévation), la DLL malveillante hérite de tous les privilèges SYSTEM
- Lorsque PowerShell charge ensuite bcrypt.dll depuis son répertoire d'application, le code de l'attaquant s'exécute avec NT AUTHORITY\SYSTEM
Cinq étapes. De l'utilisateur standard au contrôle total de SYSTEM, en armant l'outil de sécurité même censé protéger l'endpoint.
Remarque importante sur la portée : il ne s'agit pas d'une exécution de code à distance. L'attaquant a besoin d'un accès local existant. Mais en phase de post-exploitation — après l'établissement d'un premier point d'appui — c'est le type de vulnérabilité qui transforme un incident mineur en compromission complète du réseau.
Le schéma : jamais deux sans trois
FalconFlank n'est pas un incident isolé. C'est la dernière entrée d'un schéma croissant où les fonctions de remédiation EDR sont transformées en vecteurs d'attaque :
-
ShieldBreak (CVE-2026-69414) — août 2026 : le même chercheur a publié un PoC pour un zero-day de Microsoft Defender qui abuse du propre moteur de nettoyage de Windows Defender pour écrire une DLL malveillante dans System32, puis déclenche l'exécution via le signalement d'erreurs Windows. Aucun correctif de Microsoft.
-
HardBreacher — fin août 2026 : une faille d'élévation de privilèges dans le produit de sécurité d'endpoints de Kaspersky qui permet à un attaquant de prendre le contrôle du processus d'interface, faisant « complètement lâcher » l'antivirus — stoppant la protection, accordant ou bloquant l'accès à des fichiers qu'il ne devrait pas contrôler. Kaspersky a depuis corrigé.
-
FalconFlank — septembre 2026 : la fonction de remédiation de macros de CrowdStrike est armée pour une élévation de privilèges au niveau SYSTEM. Pas de correctif. Pas de CVE.
Trois éditeurs EDR. Trois abstractions de pipeline de remédiation. La même classe de vulnérabilité : un logiciel de sécurité de confiance exécutant des opérations privilégiées qui peuvent être interceptées et redirigées par un attaquant à faibles privilèges.
Ce n'est pas un bogue dans un produit unique. C'est une faiblesse architecturale systémique dans la façon dont les plateformes EDR implémentent leurs fonctions de remédiation.
La réponse de CrowdStrike
CrowdStrike est au courant et enquête. Leurs recommandations provisoires :
- Désactiver la stratégie Windows Microsoft Office File Suspicious Macro Removal — c'est la fonctionnalité spécifique exploitée
- Conserver les paramètres Cloud Anti-malware for Microsoft Office Files — cela offre une protection partielle
- Surveiller le portail de support CrowdStrike pour l'alerte technique FalconFlank
Le chercheur a noté qu'au moment de publier le PoC, CrowdStrike avait probablement déjà déployé une logique de détection — mais les détections peuvent être obscurcies, et la vulnérabilité sous-jacente reste non corrigée.
Aucun identifiant CVE n'a été attribué. Aucun score CVSS n'existe. Aucun calendrier de correctif n'a été communiqué.
Ce qui rend ce cas différent (et pire)
L'industrie de l'EDR a un problème de confiance qui va plus loin que n'importe quel CVE :
La brèche de visibilité. Quand un processus du Falcon Sensor écrit une DLL dans System32, votre SOC la signale-t-il ? Probablement pas — car c'est un processus de confiance effectuant une opération de remédiation légitime. Tout le modèle de détection suppose que l'EDR lui-même est sain. FalconFlank brise cette supposition.
Le paradoxe de la remédiation. Plus une plateforme EDR remédie agressivement les menaces (suppression de macros, quarantaine de fichiers, analyse mémoire), plus elle exécute d'opérations privilégiées — et plus elle crée de surface d'attaque. Désactiver la remédiation de macros réduit la surface d'attaque mais réduit aussi la protection. Il n'y a pas de compromis propre.
Aucun calendrier de correctif. Contrairement au HardBreacher de Kaspersky (corrigé en quelques jours), CrowdStrike ne s'est pas engagé sur un calendrier. Pour les organisations exécutant Falcon Sensor sur des milliers d'endpoints, « désactiver cette stratégie » n'est pas une vraie atténuation — c'est un pansement qui crée un risque différent.
Le PoC est public. Le code de l'exploit est sur GitHub. Le chercheur a explicitement déclaré que CrowdStrike avait probablement déjà des détections, mais a aussi noté que des techniques d'obscurcissement peuvent les contourner. La fenêtre entre divulgation et armement se réduit à des heures, pas des semaines.
Le tableau général : l'architecture de confiance de l'EDR sous le feu
FalconFlank est un symptôme d'un problème plus profond dans l'architecture de sécurité des endpoints. Les plateformes EDR ont évolué de simples collecteurs de journaux vers des moteurs d'orchestration complexes qui exécutent des opérations privilégiées : injection mémoire, remédiation de fichiers, terminaison de processus, modification de registre. Chacune de ces opérations est une surface d'attaque potentielle.
L'industrie a bâti tout un paradigme de défense sur l'idée que si vous ne pouvez pas faire confiance à votre éditeur EDR, vous ne pouvez faire confiance à rien. FalconFlank et ses prédécesseurs suggèrent que ce modèle de confiance doit être revu.
Il ne s'agit pas de dire que CrowdStrike est mauvais en sécurité. CrowdStrike fabrique d'excellents produits de sécurité. Il s'agit d'une classe de vulnérabilité qui affecte tout produit exécutant des opérations de remédiation privilégiées — et l'industrie n'a pas encore développé les schémas architecturaux pour rendre ces opérations sûres.
Ce que vous devez faire immédiatement
Si votre organisation exécute CrowdStrike Falcon :
- Désactivez la stratégie Microsoft Office File Suspicious Macro Removal conformément aux recommandations de CrowdStrike — c'est la seule atténuation provisoire connue
- Auditez vos journaux de remédiation de macros — recherchez des écritures DLL anormales dans C:\Windows\System32\WindowsPowerShell\v1.0\ et des shells SYSTEM inattendus depuis les processus du Falcon Sensor
- Passez en revue les règles de détection — SOC Prime a publié une logique de détection pour l'exploitation de FalconFlank, y compris la surveillance des événements de création de pipes liés aux processus du Falcon Sensor
- Renforcez les contrôles de privilèges locaux — si vous empêchez les utilisateurs à faibles privilèges d'atteindre le répertoire d'application PowerShell, la chaîne d'attaque est brisée à l'étape 2
- Surveillez le portail de support CrowdStrike pour le correctif officiel — tant qu'aucun correctif n'est disponible, la fonction de suppression de macros est une surface d'attaque connue
Pour toutes les organisations exécutant une plateforme EDR quelconque :
- Auditez vos pipelines de remédiation — quelles opérations privilégiées votre EDR exécute-t-il ? Un utilisateur à faibles privilèges peut-il les intercepter ou les rediriger ?
- Implémentez le moindre privilège plus agressivement — moins un utilisateur standard a accès aux répertoires système, plus cette classe d'attaque devient difficile
- Partez du principe que votre EDR n'est pas infaillible — construisez une détection pour l'outil de détection
À retenir
La promesse implicite de l'industrie EDR était : déployez notre agent, et nous attraperons ce que vous manquez. FalconFlank retourne cette promesse : l'agent que vous avez déployé pour attraper les menaces est lui-même un vecteur de menace qu'aucun autre outil ne surveille.
C'est le troisième éditeur EDR exploité en six semaines via le même schéma architectural. La leçon n'est pas de « changer d'éditeur ». La leçon est que la remédiation est une opération privilégiée, et les opérations privilégiées sont des surfaces d'attaque — quel que soit le logiciel qui les exécute.
Pour les organisations du CCG exécutant CrowdStrike Falcon (et elles sont nombreuses) : la priorité immédiate est de désactiver la stratégie de suppression de macros et de surveiller les indicateurs d'exploitation. La priorité stratégique est de repenser le modèle de confiance — votre EDR est un contrôle de sécurité critique, mais ce n'est pas une frontière de sécurité.
FalconFlank n'a ni CVE, ni correctif, ni calendrier. Ce qu'il a, c'est un PoC fonctionnel sur GitHub et une classe croissante d'imitateurs qui ont compris que le meilleur endroit pour cacher une attaque est à l'intérieur de l'outil conçu pour l'arrêter.
La sentinelle s'est retournée. Il est temps de surveiller celui qui surveille.