CrowdStrike Falcon のゼロデイ脆弱性：Windows での権限昇格を主張する PoC とは？

CrowdStrike Falcon Zero-Day Lets Attackers Escalate Privileges on Windows Systems

2026/09/04 gbhackers — 最近公開された FalconFlank と呼ばれる Proof-of-Concept (PoC) は、Windows 向け CrowdStrike Falcon Sensor におけるローカル権限昇格の脆弱性を主張するものである。現時点で CrowdStrike は、この主張を積極的に調査しており、調査結果の評価が完了するまで、Microsoft Office File Suspicious Macro Removal ポリシーを無効化するよう顧客に推奨している。

CrowdStrike Falcon のゼロデイ

9月3日にこのプロジェクトを GitHub で公開したのは、Chaotic Eclipse／Nightmare-Eclipse としても知られる MSNightmare アカウントを使用する研究者である。同プロジェクトの README における FalconFlank に関する説明は、Office ドキュメント内の悪意あるマクロを修復する Falcon の機能に影響を及ぼすゼロデイ脆弱性であるというものだ。

このリポジトリには、ソースコード／コンパイル済みの x64 リリース・ディレクトリが含まれているため、防御側では、これをローカル環境で攻撃に悪用される可能性のある手法として評価する必要がある。

この PoC が機能するのは、Microsoft Office ファイルの悪意あるマクロを削除する機能が有効化され、Falcon の Phase 3 Optimal Protection が使用されている、最新の更新が適用された Windows 11 25H2／Windows Server 2025 システムだと、この研究者は主張している。ただし、現時点ではこれらの主張に対する独立した検証は行われておらず、影響を受ける Falcon Sensor のバージョンを特定する公開済みの CVE／パッチ通知も存在していない。

主張されている問題は初期アクセスではなく権限昇格に関係するため、攻撃者にとって必要になるのは、最初に影響を受けるエンドポイント上でのコード実行もしくは、そのエンドポイント上のアカウントの利用権限である。

Chaotic Eclipse の主張は、低権限で動作するローカル・プロセスが高い権限で動作する修復ワークフローを悪用し、本来は保護を目的とする機能を介して、より高い権限を持つ Windows のセキュリティ・コンテキストを取得する可能性があるという点だ。

この問題が確かなものであるなら、すでに足掛かりを確立している侵入者は、防御機能の無効化／保護されたデータへのアクセス／永続性の維持／環境に対する制御範囲の拡大を図る可能性がある。

現時点で CrowdStrike が推奨しているのは、Microsoft Office ファイル向けの Cloud Anti-Malware Protection を有効な状態に維持しながら、影響を受ける Windows ポリシー設定を無効化することである。同社は、サポートポータル内の FalconFlank Tech Alert を確認するよう顧客に案内している。

管理者にとって必要なことは、エンドポイント・グループ全体におけるポリシー状態を確認し、変更内容が適用されていることを確認するとともに、今回の調査期間中は Cloud-Delivered Anti-Malware Control を維持することである。

セキュリティチームは、脆弱性へ CVE が割り当てられる前であっても、公開されたエクスプロイト・コードを Detection／Exposure Management における重大なセキュリティ事象として扱うべきである。つまり、Falcon のポリシー割り当て／マクロ削除機能を使用する Windows システム／Office ドキュメントの修復に関連する異常な動作／予期しない権限変更／Falcon Sensor に関連する異常な子プロセスなどを監視する必要がある。特に、テレメトリを保存した上で、管理者権限／SYSTEM レベルの実行権限を標準ユーザー権限のプロセスが取得した兆候を調査することが重要である。

また、組織は公開されたエクスプロイト・サンプルをテストする目的で Falcon に広範な除外設定を適用すべきではない。このような設定により、利用可能な保護機能と可視性が低下する可能性があるためである。その代わりに、隔離されたラボ環境における補完的なセキュリティ制御の検証／CrowdStrike の公式サポート・ガイダンスへの準拠／更新された検出情報／正式なアドバイザリ／Sensor Update の更新情報を継続的に確認することが推奨される。

調査が完了するまでは、CrowdStrike によって影響範囲が確認されたゼロデイ脆弱性として FalconFlank を扱うべきではなく、公開されたローカル権限昇格の疑いがある問題として扱うべきである。

CrowdStrike Falcon Sensor の機能に関する問題を紹介する記事です。特定環境で特定のポリシーが有効な場合、攻撃者に権限を昇格されるリスクがあります。ローカル環境における不正な権限の取得／保護されたデータへのアクセス／セキュリティ機能の無効化など、深刻な影響が懸念されます。現在公式な CVE は割り当てられていませんが、被害を防ぐための迅速な作業が必要です。対応策として、特定の緩和手順の適用／ポリシー状態の確認／公式情報の継続的な監視／異常なプロセスの監視が強く推奨されます。