Le chercheur Nightmare Eclipse continue de faire des misères à Microsoft et à Windows, mais cette fois-ci, par l’intermédiaire d’une solution de sécurité : CrowdStrike Falcon. Voici ce que l’on sait sur l’exploit FalconFlank qui promet à celui qui l’utilise d’obtenir les privilèges SYSTEM sur une machine Windows à jour.
Nightmare Eclipse, encore lui. Début septembre, il a mis en ligne un nouveau code d’exploitation surnommé FalconFlank. Sa cible : le Falcon Sensor pour Windows, c’est-à-dire l’agent installé sur les postes et les serveurs par la plateforme de protection des endpoints de CrowdStrike.
Dois-je vous rafraîchir la mémoire ? En principe, si vous lisez régulièrement mes articles, vous connaissez sûrement déjà ce chercheur : Nightmare Eclipse. Depuis avril 2026, il publie régulièrement des failles zero-day, en représailles contre Microsoft après un différend sur le traitement de ses signalements (avec le MSRC). On peut notamment citer la faille RedSun visant Microsoft Defender, ainsi que YellowKey contre BitLocker, de MiniPlasma, puis ShieldBreak, qui contournait le correctif Microsoft pour la faille RoguePlanet. Cette fois, ce n’est plus la firme de Redmond qui est directement visée, mais un éditeur de solutions de sécurité : CrowdStrike.
FalconFlank : un exploit dans un produit CrowdStrike
FalconFlank est une élévation de privilèges locale, donc l’attaquant doit déjà disposer d’un accès à la machine avec un compte standard. Un scénario classique, en somme.
Dans le cas de l’exploit FalconFlank, le mécanisme ciblé est la fonction de suppression des macros malveillantes dans les fichiers Microsoft Office. C’est l’une des fonctions de remédiation intégrée à Falcon. Elle inspecte automatiquement les documents et retire le code jugé dangereux, et pour cela elle s’exécute avec des privilèges élevés (comme souvent avec les EDR). Ce sont ces privilèges que l’exploit détourne pour obtenir une invite de commandes en SYSTEM.
“FalconFlank est une élévation de privilèges 0day qui abuse de la remédiation des macros Office malveillantes dans le Falcon Sensor de CrowdStrike”, indique le chercheur dans le README de son dépôt. Selon lui, le code fonctionne sur des machines Windows 11 25H2 et Windows Server 2025 entièrement à jour, avec la suppression des macros activée. Bien entendu, pour que cette faille soit exploitable, la solution Falcon Sensor doit être installée sur la machine.
Pour le moment, CrowdStrike ne s’est pas exprimé officiellement, mais une recommandation a tout de même été faite à ceux qui utilisent cet EDR : désactivez temporairement la fonctionnalité permettant de détecter et supprimer les macros malveillantes.
Kaspersky, Avast et Nvidia visés dans la même salve
Ce qui est dingue avec cet exploit FalconFlank, c’est qu’il n’est pas arrivé seul. La même semaine, le chercheur Nightmare Eclipse a publié deux autres exploits permettant une élévation de privilèges et un troisième plutôt orienté déni de service :
HardBreacher contre Kaspersky Antivirus for Endpoint
PrettyPrague contre Avast Antivirus de GenDigital
GreenSection, un déni de service visant Nvidia.
La vendetta initiale contre Microsoft s’est donc muée en campagne bien plus large contre l’industrie des éditeurs, en particulier ceux du secteur de la cybersécurité. Pour le moment, rien n’indique que ces failles sont déjà exploitées dans la nature, mais elles sont toutes valides. C’est en tout cas ce qu’affirme le chercheur Kevin Beaumont, que je considère comme une source fiable.
Affaire à suivre.
Cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Mon obsession depuis près de 15 ans ? Rendre l’administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu’un métier, l’IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.