CrowdStrike Falcon dans le viseur : une méthode publique pour contourner sa protection phare

Un chercheur en sécurité connu sous les pseudonymes Nightmare Eclipse, Chaotic Eclipse ou encore MSNightmare a publié, dans les derniers jours d'août 2026, le mode d'emploi détaillé d'une attaque baptisée FalconFlank, visant Falcon, le logiciel de protection des postes de travail (EDR) vendu par CrowdStrike aux entreprises. La preuve de concept, en libre accès, décrit une élévation de privilèges qui fonctionnerait sur des systèmes entièrement à jour — Windows 11 25H2 et Windows Server 2025 — avec la protection réglée à son niveau maximal.

Le mécanisme détourne une fonction précise de Falcon : la suppression automatique des macros Office jugées malveillantes, censée nettoyer les documents suspects avant qu'ils ne s'exécutent. Selon la démonstration publiée, cette fonction de nettoyage peut elle-même être manipulée pour ouvrir une brèche, un peu comme un vigile chargé de fermer les portes qui finirait par en laisser une entrouverte. Le chercheur en sécurité Kevin Beaumont, qui suit les publications de Nightmare Eclipse depuis ses premiers zero-days en avril, affirme avoir vérifié le bon fonctionnement de l'exploit.

Ce que l'on sait, et ce qui reste flou

Il faut ici être précis sur ce qui est établi. Aucun identifiant CVE n'a pour l'instant été attribué à FalconFlank, et rien n'indique à ce stade que la technique soit activement exploitée en dehors de sa démonstration publique : c'est un code de preuve de concept documenté et vérifié par un tiers, pas — à notre connaissance — une campagne d'attaque en cours. CrowdStrike a réagi avec prudence, se contentant de déclarer : « nous enquêtons activement sur ces affirmations ». En attendant un correctif, l'éditeur recommande à ses clients de désactiver le réglage de suppression automatique des macros suspectes — une protection qu'il faut donc débrancher pour, en théorie, mieux se protéger.

L'épisode ravive, sans lui être directement lié, le souvenir de la panne mondiale du 19 juillet 2024, quand une mise à jour défectueuse de CrowdStrike avait paralysé environ 8,5 millions de machines Windows, clouant des avions au sol et perturbant hôpitaux et chaînes de télévision. Rien ne rapproche techniquement les deux épisodes — l'un était un défaut de mise à jour, l'autre est une faille de conception rendue publique — mais les deux placent Falcon, un logiciel qui tourne avec des privilèges système très élevés sur des millions de postes, au centre de l'attention.

Un chercheur qui vise désormais les éditeurs de sécurité eux-mêmes

Nightmare Eclipse s'était jusqu'ici surtout fait connaître pour ses publications visant Microsoft. Sa cible surprend donc : il a également documenté des failles chez Kaspersky (HardBreacher), Avast (PrettyPrague) et Nvidia (GreenSection). Son message revendiqué pointe des problèmes de qualité logicielle qu'il juge systémiques chez des éditeurs censés montrer l'exemple — une critique qui rejoint celle formulée après la découverte, chez VMware Workstation et Fusion, d'une faille critique permettant d'échapper à une machine virtuelle, où c'est un autre poids lourd de la sécurité qui avait dû gérer l'urgence.

Pour les entreprises équipées de Falcon, la marche à suivre reste, pour l'instant, la même que pour toute vulnérabilité rendue publique sans correctif officiel : appliquer la mitigation recommandée, surveiller les prochaines communications de CrowdStrike et rappeler qu'un logiciel de sécurité doté de privilèges élevés constitue lui-même une surface d'attaque, pas seulement un bouclier.

Source

01net, « Après la panne mondiale de 2024, CrowdStrike rattrapé par une faille publique », 7 septembre 2026