CrowdStrike Falconに権限昇格の未確認報告、同社がマクロ除去機能の無効化を案内

CrowdStrike Falcon SensorのMicrosoft Office向けマクロ除去処理を悪用し、ローカルの低権限ユーザーからSYSTEM権限へ昇格できるとする概念実証コード（PoC）「FalconFlank」が公開された。CrowdStrikeは報告内容を調査中とし、顧客に「Microsoft Office File Suspicious Macro Removal」のWindowsポリシー設定を無効にするよう案内している。

公開された情報だけでは、脆弱性の根本原因や影響するFalcon Sensorのバージョン範囲は確定していない。CVE識別子や深刻度評価も示されておらず、現段階では研究者が主張する攻撃手法と、CrowdStrikeが案内した緩和策を分けて捉える必要がある。

■Falconのマクロ除去処理を悪用するPoC

FalconFlankは、Chaotic Eclipse、Nightmare-Eclipse、MSNightmareなどの名前で活動する人物が2026年9月3日に公開したPoCである。公開者は、完全に更新されたWindows 11 25H2またはWindows Server 2025上で、CrowdStrike Falconを「Phase 3 Optimal Protection」に設定し、Microsoft Officeファイルの悪意あるマクロを除去する機能を有効にした環境で動作すると主張している。

問題とされているのは、FalconがOffice文書を修復するために実行する、高い権限を持つ処理である。公開コードは、名前付きパイプやNTFSリパースポイント、DLLの読み込み処理など、Windowsの複数の機構を利用する。ローカルでコードを実行できる低権限ユーザーが、Falconの特権的なファイル操作を攻撃者側で用意した処理へ誘導し、SYSTEM権限を得るという構成だ。

SYSTEMはWindowsの重要なサービスが使用する高い権限である。権限昇格に成功した場合、攻撃者は端末内の保護されたデータや認証情報へアクセスしたり、セキュリティ機能を妨害したりする足掛かりを得る可能性がある。

もっとも、研究者が示した環境以外での影響範囲や、攻撃が成立する詳細な条件は明らかになっていない。第三者による公開分析でも、PoCの存在は確認されている一方、Falconが実際に脆弱であることや、最終的に得られる権限について独立した再現確認は示されていない。

■CrowdStrikeは報告を調査中

CrowdStrikeは、研究者の主張を調査していると説明した。顧客に対しては、暫定的な緩和策として「Microsoft Office File Suspicious Macro Removal」のWindowsポリシー設定を無効にするよう案内している。

同社によると、この設定を無効にした場合も、「Cloud Anti-malware for Microsoft Office Files」の設定による保護は継続する。顧客には、CrowdStrikeのサポートポータルで提供されているFalconFlank Tech Alertを確認するよう求めている。

2026年9月5日時点では、FalconFlankにCVE識別子は割り当てられておらず、修正済みのFalcon Sensorバージョンも公表されていない。影響の有無をSensorのバージョン番号だけで判断できる状況ではないため、Falconを利用する組織はサポートポータルの最新情報を基準に対応する必要がある。

■緩和策とOffice文書保護の関係

CrowdStrikeが無効化を案内したのは、Office文書から疑わしいマクロを除去する特定の修復機能であり、FalconによるOffice関連の保護全体ではない。同社は、クラウド側のマルウェア対策設定による保護は引き続き有効だとしている。

一方、マクロ除去機能を停止すれば、それまで利用していた文書修復処理の一部が働かなくなる。管理者は対象ポリシーだけを変更し、Cloud Anti-malwareの設定が有効であることを確認したうえで、ほかのFalconポリシーを不用意に変更しないことが重要になる。

組織ごとに適用しているFalconの機能やポリシーは異なる。設定を変更する際は、公開情報だけで一律に判断せず、FalconFlank Tech Alertに記載された環境別の案内を確認する必要がある。

■悪用にはローカルでの足掛かりが必要

FalconFlankは、外部から端末へ直接侵入するリモートコード実行の手法として公表されたものではない。公開者の説明では、対象端末上で低権限のコードを実行できることが前提となるローカル権限昇格の手法である。

そのため、アカウントの侵害、ログイン済みセッションの悪用、不正プログラムの実行などによって、攻撃者があらかじめ端末上に足掛かりを得ている必要がある。ローカルログオンやリモートデスクトップを許可する利用者の制限、多要素認証、認証情報の保護といった初期侵入対策は、権限昇格が試みられる可能性を下げるうえで引き続き重要となる。

公開PoCが作成するファイルや名前付きパイプなどの特徴を監視に利用することも考えられるが、PoC固有の文字列だけに依存する検知では、変更されたコードを捉えられない可能性がある。Falcon関連プロセスを起点とした異常な子プロセスの生成や、通常とは異なるSYSTEM権限での実行など、挙動を組み合わせて確認する必要がある。

■高い権限で動くセキュリティ製品の攻撃面

EDRやアンチウイルス製品は、端末上のプロセスやファイルを監視し、脅威を隔離・削除するために高い権限で動作する。その権限は防御機能に不可欠である一方、ファイルの隔離や復元、削除といった修復処理が意図しない対象へ誘導された場合、権限昇格の経路になり得る。

FalconFlankで示された発想も、このような信頼境界に着目したものだ。低権限の利用者が直接実行できない操作を、特権サービスのファイル処理を通じて実行させるという構造であり、個々の製品だけに限定されないセキュリティ上の課題を示している。

同じ人物は、Kaspersky Endpoint Security for Windowsを対象とする「HardBreacher」と、Avast Antivirusを対象とする「PrettyPrague」のPoCも公開した。KasperskyはHardBreacherに関する問題を自動更新または手動のデータベース更新で修正したと説明している。Avastについても、親会社のGen Digitalが報告を確認し、修正に取り組んでいると報じられている。

ただし、各製品で問題となる機能や根本原因、修正方法は同一ではない。複数のPoCが高い権限で動くセキュリティ処理を対象としているという共通点はあるものの、それだけで同じ脆弱性や単一の攻撃チェーンと判断することはできない。

■過去には公開PoCが実際の侵入で使われた例も

Nightmare-Eclipseは2026年4月以降、Microsoft Defenderなどを対象とした複数のPoCを公開している。その一つである「BlueHammer」はCVE-2026-33825として管理され、Microsoftによる修正後、米サイバーセキュリティ・社会基盤安全保障庁のKnown Exploited Vulnerabilitiesカタログに追加された。

Huntressは、BlueHammer、RedSun、UnDefendと呼ばれるツールが実際の侵入調査で実行されていたことを確認している。ただし、同社が詳しく報告した事案では、これらのツールはいずれも成功しなかったように見えるとしている。侵入には、侵害されたとみられるFortiGate SSL VPNが使われ、ロシアに位置情報が結び付く接続元IPアドレスも確認された。

この事例は、公開されたPoCが第三者によって短期間のうちに実際の侵入へ持ち込まれる可能性を示している。一方、過去のツールが使われた事実から、FalconFlankもすでに悪用されていると判断することはできない。FalconFlankについては、CrowdStrikeによる調査結果やCVEの採番、修正版の提供状況を継続して確認する必要がある。

■企業が確認すべき対応

影響する可能性がある構成を使用している組織は、CrowdStrikeの案内に従い、「Microsoft Office File Suspicious Macro Removal」のWindowsポリシー設定を無効にすることを検討する必要がある。変更後は「Cloud Anti-malware for Microsoft Office Files」が有効であることも確認する。

あわせて、FalconFlank Tech Alertを確認し、対象となるOS、Falconの保護設定、マクロ除去ポリシーの適用状況を調べることが求められる。端末へのローカルアクセスやリモートアクセスを許可するアカウントを点検し、不要な権限や利用されていないアカウントも整理したい。

CrowdStrikeが修正済みSensorを提供した場合は、サポートポータルに示される適用条件と手順を確認して更新する必要がある。それまでは、案内された緩和策に加え、エンドポイントとは独立したID管理、ネットワーク監視、ログ分析を組み合わせ、単一のセキュリティエージェントだけに依存しない監視体制を維持することが重要となる。

元記事: CrowdStrike Falcon Zero-Day Turns Enterprise Security Agent Into Attack Surface