Ein Sicherheitsforscher hat einen funktionierenden Exploit für CrowdStrike Falcon veröffentlicht, der einem gewöhnlichen Windows-Konto volle SYSTEM-Rechte verschafft. Der Angriff missbraucht ausgerechnet die Makro-Abwehr des Schutzprogramms. CrowdStrike bestätigt die Lücke bislang nicht, rät Kunden aber zu einer sofortigen Notmaßnahme.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Ein Zero-Day in der Sicherheitssoftware CrowdStrike Falcon beschäftigt seit dem Wochenende die IT-Abteilungen. Am 3. September stellte ein Forscher unter dem Pseudonym Chaotic Eclipse einen fertigen Exploit namens FalconFlank auf GitHub online. Der Code hebt ein normales Nutzerkonto auf die höchste Rechtestufe von Windows.
Das Wichtigste in Kürze
- Der Exploit FalconFlank verschafft aus einem Standard-Windows-Konto volle SYSTEM-Rechte.
- Angegriffen wird die Falcon-Funktion, die verdächtige Office-Makros entfernt.
- CrowdStrike hat weder ein CVE noch einen Patch veröffentlicht (Stand: 7. September 2026).
- Als Sofortschutz empfiehlt der Anbieter, eine bestimmte Windows-Richtlinie vorübergehend abzuschalten.
Wie funktioniert der Angriff?
Der Exploit dreht die Schutzfunktion gegen das eigene System. Falcon entfernt verdächtige Makros aus Office-Dateien und führt diesen Aufräumschritt mit hohen Rechten aus. Genau in diesen Ablauf schmuggelt FalconFlank laut dem veröffentlichten Proof-of-Concept eine präparierte Programmbibliothek ein, die der Sensor daraufhin im SYSTEM-Kontext lädt.[1]
Technisch steckt dahinter ein klassischer Stellvertreter-Fehler: Ein hoch privilegierter Prozess handelt auf Zuruf eines schwach privilegierten Angreifers. Die manipulierte Bibliothek liegt an einer Stelle, die der Schutzsensor beim Aufräumen zuerst durchsucht und daher anstelle der echten Windows-Datei lädt.
Warum sind Schutzprogramme ein bevorzugtes Ziel?
Sicherheitsprogramme laufen mit den weitesten Rechten im System. Ein EDR-Sensor wie Falcon sitzt tief im Betriebssystem, um jeden Prozess beobachten zu können. Diese Machtfülle macht ihn zum lohnendsten Ziel: Mit dem Wächter fällt der ganze Rechner.
Der Fall reiht sich in eine bekannte Klasse ein. Erst im Juli 2024 legte ein fehlerhaftes Falcon-Update laut Microsoft rund 8,5 Millionen Windows-Rechner lahm. Damals steckte ein Programmierfehler dahinter, diesmal eine gezielt ausnutzbare Lücke, doch beide Fälle zeigen dasselbe Risiko: Die schützende Software kann selbst zum Einfallstor werden.
Ein Schutzprogramm mit Systemrechten ist die attraktivste Angriffsfläche im ganzen Netzwerk. Deshalb gehört jede EDR-Lösung so streng überwacht wie das Betriebssystem selbst.
— Markus Seyfferth, Chefredakteur Dr. Web
Der Angriffsweg in drei Schritten
Ein Angreifer arbeitet mit einem gewöhnlichen, schwach berechtigten Windows-Konto.
Er schmuggelt eine präparierte Programmbibliothek in den Aufräumschritt von Falcon.
Der Sensor lädt die Bibliothek mit höchsten Rechten und übergibt die volle Kontrolle.
Der Stand in Zahlen
Bis ein Patch vorliegt: die Windows-Richtlinie „Suspicious Macro Removal“ vorübergehend deaktivieren. Die Cloud-Abwehr für Office-Dateien bleibt laut CrowdStrike aktiv.
Was sollten Unternehmen im DACH-Raum jetzt tun?
Der wichtigste Schritt ist die von CrowdStrike genannte Notmaßnahme. Bis ein Patch vorliegt, sollten Administratoren die Richtlinie „Suspicious Macro Removal“ vorübergehend deaktivieren; die Cloud-Abwehr für Office-Dateien bleibt laut Anbieter aktiv. CrowdStrike erklärte dazu, man untersuche die Berichte und rate zu genau diesem Schritt.
Für Betreiber wichtiger Anlagen wiegt der Vorfall schwerer. Unter NIS2 müssen KRITIS- und andere wichtige Unternehmen erhebliche Sicherheitsvorfälle binnen 24 Stunden an das BSI melden, und eine offene Rechteausweitung im zentralen Schutzsensor fällt darunter. Sinnvoll ist jetzt eine gezielte Suche in den Endpunkt-Protokollen nach unerklärten Bibliotheksdateien und nach Prozessen, die grundlos im SYSTEM-Kontext starten.
Zur Einordnung helfen frühere Fälle: Wie ein aktiv ausgenutzter Zero-Day in allen Chromium-Browsern zeigt, zählt bei ungepatchten Lücken jede Stunde, und die Häufung massenhaft über GitHub veröffentlichter Zero-Days verschärft den Druck zusätzlich. Für den Mittelstand rückt damit auch die NIS2-Haftung näher, während CrowdStrike zuletzt mit QuiltWorks eine KI-gestützte Schwachstellensuche für kleinere Firmen geöffnet hat. Wie abhängig deutsche Anwender vom Anbieter sind, zeigt der Fall Schwarz Digits, das trotz Souveränitätsanspruch auf CrowdStrike setzt.
Solange CrowdStrike die Lücke weder bestätigt noch schließt, bleibt die Notkonfiguration die einzige verlässliche Bremse. Ein kurzer Blick in die eigene Falcon-Richtlinie kostet wenige Minuten und schließt das gefährlichste Fenster.
FAQ: CrowdStrike Falcon Zero-Day
Was ist der FalconFlank-Zero-Day?
FalconFlank ist ein von einem Sicherheitsforscher veröffentlichter Exploit für CrowdStrike Falcon unter Windows. Er hebt ein normales Nutzerkonto auf volle SYSTEM-Rechte, indem er die Makro-Abwehr des Sensors missbraucht. CrowdStrike hat die Lücke bislang nicht offiziell bestätigt.
Welche Systeme sind betroffen?
Betroffen sind Windows 11 und Windows Server mit installiertem CrowdStrike Falcon Sensor, auch wenn das Betriebssystem vollständig aktualisiert ist. Der veröffentlichte Proof-of-Concept funktioniert nach Angaben der Sicherheitsforschung auf gepatchten Systemen (Stand: 7. September 2026).
Wie schützen Unternehmen sich sofort?
CrowdStrike rät, die Windows-Richtlinie „Suspicious Macro Removal“ vorübergehend zu deaktivieren. Die Cloud-Abwehr für Office-Dateien bleibt laut Anbieter aktiv. Zusätzlich sollten Teams die Endpunkt-Protokolle auf verdächtige Bibliotheksdateien und unerwartete SYSTEM-Prozesse prüfen.
Gibt es bereits ein CVE oder einen Patch?
Nein. Bis zum 7. September 2026 hat CrowdStrike weder eine CVE-Nummer noch einen CVSS-Wert oder einen Patch veröffentlicht. Eine aktive Ausnutzung durch Angreifer ist bislang nicht dokumentiert, obwohl ein funktionierender Exploit öffentlich verfügbar ist.
Quelle
[1] Cloud Security Alliance: „FalconFlank: CrowdStrike Falcon Zero-Day Grants SYSTEM Access“
Mehr Newshunger?
- Zero-Day in allen Chromium-Browsern: Die V8-Lücke wird bereits ausgenutzt
- Brüssel befreit 28.700 Mittelständler von der NIS2-Hauptlast
- Metabase-Sicherheitslücke: Angreifer stehlen Kundendaten über die Analyse-Plattform
- Von Stunden auf Minuten: Amazons KI-Agent übernimmt die erste Bedrohungsanalyse
- Coding-Aufgabe im Bewerbungsgespräch: Sieben Zeilen laden den Schadcode nach
