11/09/2026

FalconFlank, quand votre antivirus devient la faille

Par Maéva MARMIN
10 min
ACTUALITE & TENDANCES

Un agent de sécurité déploie CrowdStrike Falcon sur ses postes de travail. Il active la suppression automatique des macros Office malveillantes, une fonctionnalité présentée comme une couche de protection supplémentaire. Ce faisant, il crée sans le savoir une nouvelle surface d'attaque. Depuis le 3 septembre 2026, en effet, un code d'exploitation public permet à un utilisateur aux droits limités d'obtenir les privilèges les plus élevés du système. La protection devient ainsi le vecteur.

Lexique

LPE (Local Privilege Escalation) : une attaque où un utilisateur aux droits limités obtient des privilèges élevés sur le même système, sans avoir à compromettre un compte administrateur au préalable. | NT AUTHORITY\SYSTEM : le niveau de privilège le plus élevé sur Windows, supérieur à celui d'un administrateur standard. | Named pipe : canal de communication inter-processus sous Windows, ici utilisé par l'exploit pour établir un canal de commande à niveau SYSTEM. | PoC (Proof of Concept) : code d'exploitation fonctionnel démontrant qu'une faille est réellement exploitable, publié ici sans avertissement préalable.

Ce qu'est FalconFlank, concrètement

FalconFlank est une élévation de privilèges locale (LPE) dans CrowdStrike Falcon Sensor pour Windows. Concrètement, elle permet à un utilisateur disposant de droits standards, par exemple un employé sans accès administrateur, d'obtenir les droits NT AUTHORITY\SYSTEM. C'est le niveau de contrôle le plus élevé du système, sur des machines entièrement à jour sous Windows 11 (25H2) et Windows Server 2025.

Le chercheur anonyme connu sous les pseudos Chaotic Eclipse et Nightmare-Eclipse publie le code d'exploitation fonctionnel sur GitHub le 3 septembre 2026, sans en avertir CrowdStrike au préalable. Au 8 septembre 2026, aucun CVE n'est encore assigné, aucun score CVSS établi, aucun correctif officiel disponible. Par ailleurs, CrowdStrike ne publie aucun advisory public sur cette faille.

3 sept. date de publication du code d'exploitation, sans avertissement préalable à CrowdStrike

0 patch aucun correctif disponible au 8 septembre 2026, aucun CVE assigné à ce jour

SYSTEM le niveau de privilège obtenu, supérieur à celui d'un administrateur Windows standard

Le mécanisme d'exploitation, étape par étape

La faille n'exploite pas un bug de code classique. Elle détourne plutôt une fonctionnalité légitime : la routine de suppression automatique des macros malveillantes dans les fichiers Microsoft Office. Cette routine tourne en effet avec les privilèges SYSTEM dans Falcon Sensor. C'est donc précisément ce niveau de privilège élevé, nécessaire pour que la protection fonctionne, qui devient le point d'entrée de l'attaque.

chaîne d'exploitation falconflank — reconstituée à partir des analyses publiées

[1] ATTAQUANTdépose un fichier Office contenant une macro, et place une DLL piégée dans le répertoire PowerShell v1.0 via un NTFS reparse point

[2] FALCONdétecte la macro Office et déclenche automatiquement sa routine de suppression, qui s'exécute avec les droits NT AUTHORITY\SYSTEM

[3] EXPLOITla routine charge la DLL piégée de l'attaquant à niveau SYSTEM via manipulation de named pipe (canal nommé FALCONFLANK)

[4] RÉSULTATun shell NT AUTHORITY\SYSTEM s'ouvre — contrôle total du système, sans que l'écriture finale apparaisse dans la télémétrie Falcon

Prérequis : la fonctionnalité "Office File Suspicious Macro Removal" doit être activée dans la politique de prévention Falcon. Source : Cloud Security Alliance,

« Pour protéger le système, Falcon a besoin de droits SYSTEM. Et c'est exactement ce besoin que FalconFlank exploite. »

Un chercheur, une série de failles, un message

FalconFlank n'est pas un coup isolé. Chaotic Eclipse s'inscrit en effet dans une série de divulgations sans avertissement préalable, visant des produits de sécurité majeurs. Il déclare vouloir ainsi dénoncer la réactivité insuffisante des éditeurs aux rapports de vulnérabilités.

JUIN 2026 ShieldBreak — Microsoft Defender

CVE-2026-69414. Même technique : la routine de remédiation de Defender, tournant avec des droits SYSTEM, détournée pour exécuter du code arbitraire. Microsoft n'a pas encore publié de correctif.

ANTÉRIEUR RoguePlanet — Microsoft Defender

CVE-2026-50656. Bypass de correctif, même acteur. Des attaquants ont commencé à exploiter cette faille dans la nature après la publication du PoC.

3 SEPT. 2026 FalconFlank — CrowdStrike Falcon

Le même pattern appliqué à un second éditeur d'EDR majeur. Le chercheur a annoncé avoir d'autres vulnérabilités en réserve, dont des RCE.

Cette récurrence montre que la technique, détourner la pipeline de remédiation d'un produit de sécurité, ne constitue pas un angle mort spécifique à CrowdStrike. D'autres éditeurs d'EDR et d'antivirus devraient donc activement auditer cette classe d'attaque.

Ce que CrowdStrike a dit et fait

CrowdStrike ne confirme pas publiquement la faille, mais publie un Tech Alert sur son portail support, accessible uniquement aux clients disposant d'un compte. Dans sa communication aux médias, l'éditeur indique que ses clients restent protégés via le paramètre "Cloud Anti-malware for Microsoft Office Files" et les renvoie vers ce Tech Alert. Aucun advisory public n'apparaît sur le site officiel de l'éditeur à ce jour.

La mitigation officielle, et ses limites : CrowdStrike recommande de désactiver le paramètre "Office File Suspicious Macro Removal" dans la politique de prévention Falcon. Cette mesure ferme certes le chemin d'attaque spécifique de FalconFlank. Elle ne couvre pas, en revanche, d'éventuelles autres fonctionnalités de remédiation tournant avec des privilèges élevés. Ce n'est donc pas un correctif à proprement parler.

Une particularité de détection à connaître : l'écrasement final de la bibliothèque système (en System32) n'apparaît pas dans la télémétrie Falcon. NTFS valide en effet l'écriture en une seule opération atomique, et n'enregistre pas les événements d'écriture par fichier à cette étape. Les signatures à surveiller se situent donc ailleurs : des fichiers suspects dans le répertoire PowerShell v1.0, et des créations de processus en contexte SYSTEM non attendues.

Ce qu'il faut faire maintenant

Désactiver immédiatement le paramètre "Office File Suspicious Macro Removal" dans la politique de prévention Falcon, jusqu'à publication d'un correctif officiel.
Consulter ensuite le Tech Alert FalconFlank sur le portail support CrowdStrike si vous avez un compte client actif.
Surveiller également les créations de processus en contexte SYSTEM non attendues dans les logs endpoint depuis le 3 septembre 2026.
Rechercher par ailleurs dans les répertoires PowerShell v1.0 la présence de fichiers ressemblant à des bibliothèques système (bcrypt.dll ou similaires) non attendus.
Vérifier enfin si le même scénario s'applique à d'autres fonctionnalités de remédiation de votre EDR qui tournent avec des droits élevés.

FAQ – Questions fréquentes

Des attaques réelles ont-elles déjà eu lieu ?

Aucune exploitation dans la nature n'a été confirmée à ce jour.
Au 8 septembre 2026, aucun acteur malveillant ni aucune victime ne se trouve associé à FalconFlank. La publication d'un PoC fonctionnel augmente cependant le risque de façon significative, car n'importe qui peut s'en emparer et adapter le code pour effacer ses traces.

Les autres systèmes d'exploitation sont-ils concernés ?

La faille est documentée uniquement pour Windows.
Toutes les sources recoupées mentionnent en effet Windows 11 (25H2) et Windows Server 2025. Aucune source ne documente toutefois un impact sur les versions Linux ou macOS de Falcon Sensor.

Désactiver la fonctionnalité de suppression des macros réduit-il la protection globale ?

Oui, c'est un compromis à assumer temporairement.
La suppression automatique des macros malveillantes constitue une couche de protection utile. La désactiver en attendant le patch crée un angle mort sur les fichiers Office. Il convient donc de compenser par d'autres contrôles : filtrage des pièces jointes Office en entrée, et restriction des macros via la stratégie de groupe Windows.

Est-ce que cela remet en cause l'utilisation de CrowdStrike Falcon ?

Non, mais cela rappelle qu'un EDR n'est pas infaillible.
Tout logiciel tournant avec des droits élevés peut en effet devenir une surface d'attaque. C'est justement pourquoi la sécurité en profondeur (defense-in-depth) et la surveillance comportementale indépendante de l'EDR restent indispensables.

En synthèse, FalconFlank illustre un paradoxe bien connu des équipes sécurité : plus un outil de protection a besoin de droits élevés pour fonctionner, plus il offre une surface d'attaque intéressante si sa logique de remédiation peut être détournée. La faille est sérieuse et le PoC est public, mais aucune exploitation réelle n'a encore été constatée. La mitigation disponible ferme certes le chemin d'attaque documenté. Elle réduit toutefois temporairement la couverture sur les fichiers Office, un compromis à assumer jusqu'à publication d'un correctif officiel.

Sæpiens - Sécurité endpoint et EDR

Votre EDR est-il configuré pour ne pas devenir une surface d'attaque ?

FalconFlank le rappelle clairement : un outil de sécurité qui tourne avec des droits élevés peut lui-même devenir un vecteur si sa configuration n'est pas maîtrisée. Sæpiens audite la configuration de vos solutions endpoint, vérifie les paramètres à risque et vous accompagne dans la mise en place d'une défense en profondeur qui ne repose pas sur un seul outil.

Vos outils de sécurité sont-ils eux-mêmes correctement sécurisés ?

AUDITER MES ENDPOINTS