CrowdStrike Falconに権限昇格のゼロデイ「FalconFlank」PoCが公開 — 研究者がOfficeマクロ修復機能の悪用を主張、CrowdStrikeは未確認

CrowdStrike Falcon Sensorの権限昇格が可能だとする概念実証コード（PoC）「FalconFlank」が2026年9月3日、研究者Chaotic Eclipse（別名 INFINITE NIGHTMARE / MSNightmare）によりGitHubで公開された。PoCのREADMEでは、Falcon Sensorが持つ「Office悪性マクロの修復（remediation）」機能を悪用することで権限昇格が可能になると主張している。公表時点でCrowdStrikeによる公式な確認やCVE番号の採番は確認されていない。

何が主張されているか — Officeマクロ修復機能の悪用とDLL読み込み

FalconFlankのREADMEによると、FalconFlankは「CrowdStrike Falcon SensorのOffice悪性マクロ修復機能を悪用する権限昇格のゼロデイ」だと説明されている。研究者は、PoCを公開した時点でCrowdStrike側は検知ルールを追加しているとみられるため、検証する場合はFalconの除外設定にPoCを追加するか、PoCを難読化してDLL読み込み手法を変更する必要があると述べている。

READMEに掲載されたスクリーンショット（2026年9月2日 19:57の画面）では、Windows環境でFalcon Sensorが導入された状態での動作が示されている。コードの言語はCで、リポジトリは2026年9月3日2時48分（UTC）に作成され、同日3時44分（UTC）にプッシュされたとGitHubのメタデータで確認できる。

PoCが悪用するとされるDLL読み込み手法の詳細や、権限昇格がどの権限境界を越えるのか（例: 一般ユーザーからSYSTEMへ）といった技術的な条件は、READMEの記述が簡潔なため一次情報からは限定してしか確認できない。研究者は「Office悪性マクロ修復」というFalconの特定機能に依存する点を強調しており、同機能が有効な環境でのみ再現するとしている。

動作条件 — 最新Windowsと特定のFalcon設定で動作と主張

研究者は、FalconFlankが次の環境で動作すると主張している。

• OS: 完全更新された Windows 11 25H2 および Windows Server 2025
• Falcon Sensor: Phase 3 Optimal Protection モード
• 設定: 「Microsoft Officeファイルの悪性マクロ除去（Microsoft Office file malicious macro removal）」が有効

これらの条件は研究者のREADMEに記載された主張であり、CrowdStrikeのドキュメントや独立した第三者による再現結果は、公表時点で一次情報として確認されていない。PoCがPhase 3（最も厳格な保護レベル）で動作するという主張は、逆説的に、CrowdStrikeの検知が有効な環境でも回避しうる可能性を示唆するとして注目を集めているが、実運用環境での影響はCrowdStrikeの公式見解を待つ必要がある。

信頼性と注意点 — 未確認のゼロデイ主張とPoCの取り扱い

本件は、研究者による一方的なゼロデイ主張とPoC公開という形で広まっており、以下の点に留意が必要である。

• CrowdStrikeの公式確認はない。 2026年9月3日時点で、CrowdStrikeがFalconFlankの脆弱性を認めた旨のアドバイザリや修正プログラムの案内は、一次情報として確認されていない。CVE番号も採番されていない。
• PoCは悪用可能な状態で公開されている。 GitHubリポジトリはMITライセンスで公開され、スター数は公開から数時間で180超、フォークは44件に達している（2026年9月3日9時時点）。PoCが容易に入手・改変できるため、攻撃者による流用のリスクがある。
• 検証にはFalconの除外が必要とされる。 研究者自身が「Falconの検知を回避するには除外設定が必要」と述べていることから、最新のFalconシグネチャでは検知される可能性がある。

日本国内でもCrowdStrike Falconは大企業を中心に広く導入されている。FalconFlankが主張どおりに動作する場合、端末上で一般ユーザー権限を得た攻撃者が、Falconが導入された端末で権限昇格を試みる経路となり得る。ただし、再現にはFalconの特定機能が有効であることや、PoCの難読化が必要とされるなど、前提条件が限定的である。

推奨される対応 — CrowdStrikeの公式情報を注視し、PoCの悪用に備える

研究者の一次情報には、対策や修正版の提供に関する記載はない。現時点で組織が取れる対応は、一次情報が示す範囲に限定される。

• CrowdStrikeの公式アドバイザリやアップデートの有無を、Falcon管理コンソールやCrowdStrikeの公式ブログで継続的に確認する。
• PoCがMITライセンスで公開されていることを踏まえ、EDR（Endpoint Detection and Response）の検知ルールが最新の状態に保たれているか確認する。研究者が示唆するように、Falconの検知回避には難読化が必要とされる可能性があるため、シグネチャ以外の挙動検知も有効にしておくことが望ましい。
• Officeマクロ関連の修復機能の設定が組織のポリシーで必須でない場合は、CrowdStrikeのガイダンスが出るまで設定の見直しを検討する際は、公式の推奨を待つ。

本記事は研究者のGitHubリポジトリの記述に基づいており、CrowdStrikeが公式に脆弱性を認めた場合は、速やかに続報で伝える。

出典

• MSNightmare「FalconFlank」GitHubリポジトリ README（2026年9月3日公開） https://github.com/MSNightmare/FalconFlank