# CrowdStrike Falcon dans le viseur : une méthode publique pour contourner sa protection phare

> Un chercheur connu pour ses publications contre Microsoft a documenté une élévation de privilèges contre Falcon, l'EDR de CrowdStrike, en détournant sa fonction de nettoyage des macros Office.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/crowdstrike-falcon-faille-falconflank-preuve-concept-publique
- Auteur : Kelvyn
- Publié le : 7 septembre 2026 (2026-09-07T09:42:00.000Z)
- Rubrique : Cybersécurité
- Sujets : Cybersécurité, Windows, CrowdStrike, EDR
- Langue : français

Un chercheur en sécurité connu sous les pseudonymes Nightmare Eclipse, Chaotic Eclipse ou encore MSNightmare a publié, dans les derniers jours d'août 2026, le mode d'emploi détaillé d'une attaque baptisée **FalconFlank**, visant Falcon, le logiciel de protection des postes de travail (EDR) vendu par CrowdStrike aux entreprises. La preuve de concept, en libre accès, décrit une élévation de privilèges qui fonctionnerait sur des systèmes entièrement à jour — Windows 11 25H2 et Windows Server 2025 — avec la protection réglée à son niveau maximal.

Le mécanisme détourne une fonction précise de Falcon : la suppression automatique des macros Office jugées malveillantes, censée nettoyer les documents suspects avant qu'ils ne s'exécutent. Selon la démonstration publiée, cette fonction de nettoyage peut elle-même être manipulée pour ouvrir une brèche, un peu comme un vigile chargé de fermer les portes qui finirait par en laisser une entrouverte. Le chercheur en sécurité Kevin Beaumont, qui suit les publications de Nightmare Eclipse depuis ses premiers zero-days en avril, affirme avoir vérifié le bon fonctionnement de l'exploit.

## Ce que l'on sait, et ce qui reste flou

Il faut ici être précis sur ce qui est établi. Aucun identifiant CVE n'a pour l'instant été attribué à FalconFlank, et rien n'indique à ce stade que la technique soit activement exploitée en dehors de sa démonstration publique : c'est un code de preuve de concept documenté et vérifié par un tiers, pas — à notre connaissance — une campagne d'attaque en cours. CrowdStrike a réagi avec prudence, se contentant de déclarer : « [nous enquêtons activement sur ces affirmations](https://www.01net.com/actualites/apres-panne-mondiale-de-2024-crowdstrike-rattrape-faille-publique.html) ». En attendant un correctif, l'éditeur recommande à ses clients de désactiver le réglage de suppression automatique des macros suspectes — une protection qu'il faut donc débrancher pour, en théorie, mieux se protéger.

L'épisode ravive, sans lui être directement lié, le souvenir de la panne mondiale du 19 juillet 2024, quand une mise à jour défectueuse de CrowdStrike avait paralysé environ 8,5 millions de machines Windows, clouant des avions au sol et perturbant hôpitaux et chaînes de télévision. Rien ne rapproche techniquement les deux épisodes — l'un était un défaut de mise à jour, l'autre est une faille de conception rendue publique — mais les deux placent Falcon, un logiciel qui tourne avec des privilèges système très élevés sur des millions de postes, au centre de l'attention.

## Un chercheur qui vise désormais les éditeurs de sécurité eux-mêmes

Nightmare Eclipse s'était jusqu'ici surtout fait connaître pour ses publications visant Microsoft. Sa cible surprend donc : il a également documenté des failles chez Kaspersky (HardBreacher), Avast (PrettyPrague) et Nvidia (GreenSection). Son message revendiqué pointe des problèmes de qualité logicielle qu'il juge systémiques chez des éditeurs censés montrer l'exemple — une critique qui rejoint celle formulée après la découverte, chez [VMware Workstation et Fusion, d'une faille critique permettant d'échapper à une machine virtuelle](https://klynlabs.vercel.app/articles/vmware-workstation-fusion-faille-critique-hote), où c'est un autre poids lourd de la sécurité qui avait dû gérer l'urgence.

Pour les entreprises équipées de Falcon, la marche à suivre reste, pour l'instant, la même que pour toute vulnérabilité rendue publique sans correctif officiel : appliquer la mitigation recommandée, surveiller les prochaines communications de CrowdStrike et rappeler qu'un logiciel de sécurité doté de privilèges élevés constitue lui-même une surface d'attaque, pas seulement un bouclier.

## À retenir

- Un chercheur a publié fin août 2026 une preuve de concept publique, baptisée FalconFlank, décrivant une élévation de privilèges contre Falcon, l'EDR de CrowdStrike.
- La technique fonctionnerait sur des systèmes Windows entièrement à jour ; elle a été vérifiée par un chercheur tiers, mais aucun CVE n'a été attribué et rien n'indique une exploitation active en dehors de la démonstration publiée.
- CrowdStrike recommande, en attendant un correctif, de désactiver la fonction de suppression automatique des macros Office — la mitigation temporaire consiste donc à couper une protection.
- L'auteur de la preuve de concept a déjà visé Microsoft, Kaspersky, Avast et Nvidia, dénonçant des problèmes de qualité logicielle chez plusieurs éditeurs de sécurité.

### Source

[01net, « Après la panne mondiale de 2024, CrowdStrike rattrapé par une faille publique », 7 septembre 2026](https://www.01net.com/actualites/apres-panne-mondiale-de-2024-crowdstrike-rattrape-faille-publique.html)

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/crowdstrike-falcon-faille-falconflank-preuve-concept-publique