CrowdStrike Falconに権限昇格のゼロデイ脆弱性「FalconFlank」判明、セキュリティ研究者が実証コードを公開

要点

• セキュリティ研究者のChaotic Eclipse氏が、CrowdStrike Falcon Sensorにおける権限昇格のゼロデイ脆弱性「FalconFlank」の実証コード（PoC）をGitHub上で公開した。

• 本脆弱性はOffice文書内の悪意あるマクロを修復する処理を悪用するもので、最新のWindows 11 25H2やWindows Server 2025環境で動作することが報告されている。

• 同研究者は直前にもKaspersky製品を対象としたPoC「HardBreacher」を公開したほか、先月にはMicrosoft Defenderのゼロデイ「ShieldBreak」のPoCも公表していた。

• 研究者はベンダー側との対話拒絶や制限への不満を主張しており、セキュリティ製品を標的とした連続的なゼロデイ公開を行っている。

• セキュリティ研究者のChaotic Eclipse氏（別名：INFINITE NIGHTMARE、MSNightmareなど）は、米クラウドストライク（CrowdStrike）のエンドポイント保護製品「CrowdStrike Falcon」に存在する権限昇格のゼロデイ脆弱性を悪用する実証コード（PoC：脆弱性が悪用可能であることを示す検証用プログラム）を公開した。本脆弱性は「FalconFlank」と名付けられており、製品内の特定の修復機能を悪用してローカル環境で権限昇格を可能にするものだという。今回の公開は、同氏が主要なエンドポイントセキュリティ製品を対象に進めている一連の脆弱性公開の一環とみられる。

マクロ修復機能を悪用する「FalconFlank」の仕組み

FalconFlankは、端末の監視や脅威検知を行うエージェントソフトウェア「CrowdStrike Falcon Sensor」に存在する未修正の脆弱性である。研究者が公開したGitHubのREADMEによると、本脆弱性はMicrosoft Officeの悪意あるマクロを検出・修復する処理機能の不備を悪用して、一般ユーザー権限から管理者権限などを奪取する権限昇格を行うという。

同氏の説明によれば、このPoCは完全にアップデートされたWindows 11 25H2およびWindows Server 2025上で、CrowdStrike Falconが稼働している環境において動作することが確認されている。また、すでにCrowdStrike側で検知機能などの対策が講じられている可能性があるため、検証を行う際には検知除外設定を行うか、コードを難読化してDLLの読み込み手法を変更する必要があると付記されている。なお、本件について米The Hacker NewsがCrowdStrikeへコメントを求めているが、記事公開時点での回答は得られていない。

カスペルスキー製品を標的とした「HardBreacher」も直前に公開

Chaotic Eclipse氏は、FalconFlankを公開するわずか数日前にも、露カスペルスキー（Kaspersky）のWindows向けエンドポイントセキュリティ製品（バージョン 14.0.0.504）に対する権限昇格のPoC「HardBreacher」を公開していた。

このHardBreacherについて、研究者は「実証コードは決して洗練された状態ではなく、最低限動作するよう急造したものだ」と述べている。実行時にエラーが発生することがあるため複数回の試行が必要となる場合があるものの、攻撃が成功するとシステムディレクトリ直下（C:\Windows\System32\MY_SNAKE_IS_SOLID.dll）にファイルを生成し、現在の実行ユーザーに対して完全なアクセス権限を付与するという。さらに、ユーザーインターフェース（UI）を制御するプロセスを乗っ取ることで、保護機能の停止や本来許可すべきでないファイルへのアクセス制御の喪失が発生し、OS全体の動作が著しく混乱する状態に陥ると主張している。

Microsoft Defenderの「ShieldBreak」に続く連続公開

同氏によるセキュリティ対策ソフトの脆弱性公開はこれらに留まらない。先月（2026年8月）にも、Windowsの標準セキュリティ機能であるMicrosoft Defenderのゼロデイ脆弱性「ShieldBreak」（CVE-2026-69414）のPoCを公表していた。

ShieldBreakは、過去に報告されたCVE-2026-50656（通称：RoguePlanet）の修正パッチを回避する手法と評価されており、攻撃者に最上位のシステム権限（NT AUTHORITY\SYSTEM）で任意のコードを実行させる恐れがある。セキュリティ企業のLevelBlue（旧AT&T Cybersecurity）の分析によると、ShieldBreakは過去の同系統の手法（RedSunやLegacyHive）と同様にWindows OSの内部構造を巧みに悪用しているという。具体的には、クラウドファイル同期機能（Cloud Files API）、OS内部の名前空間操作、Windows Defender APIの直接呼び出し、および脅威修復処理におけるタイミングのずれ（競合状態：処理の重複で予期せぬ挙動を生む現象）を組み合わせている。これにより、Defender自身の正規のクリーンアップエンジンを悪用してシステム領域（C:\Windows\System32\phoneinfo.dll）に不正なDLLを書き込ませ、Windowsエラー報告タスクを介してシステム権限で実行させる一連の攻撃チェーンが成立すると解説されている。なお、Microsoftからは現時点で修正プログラムは提供されていない。

ベンダーとの対話断絶を主張し、パッチ前の公開を予告

一連の脆弱性公開の背景として、Chaotic Eclipse氏はベンダー側とのコミュニケーション不全を主張している。自身のブログ投稿において、Microsoftから連絡を完全に無視（ghost）され、一切の対話を拒否されていると述べ、「自身を異常な犯罪者として仕立て上げようとしている」と不満を露わにしている。

また、Microsoft側の制限によって、発見した脆弱性を各製品の開発元へ正常に報告することすらできない状況に置かれていると主張している。同氏は8月14日付の投稿で「毎月のセキュリティ更新プログラム（Patch Tuesday）が公開される前の期間を狙い、サードパーティ製品のバグ公開を始めるつもりだ」と予告しており、今回のCrowdStrikeやKasperskyを対象としたPoC公開は、その予告に沿った形で実施されたとみられる。