CrowdStrike Falconの権限昇格 PoC:FalconFlankなど複数製品のPoCが公開 -EDR共通の設計リスクか、他製品の過去事例から検証

セキュリティ研究者Chaotic Eclipse（別名INFINITE NIGHTMARE、MSNightmare、Nightmare-Eclipse）が2026年9月3日、CrowdStrike Falconを対象とする権限昇格PoC「FalconFlank」をGitHubで公開しました。

研究者は、CrowdStrike Falcon SensorがMicrosoft Officeファイルに対して行う悪性マクロの修復処理を悪用し、低権限のローカルユーザーからSYSTEM権限へ昇格できると説明しています。PoCは、完全に更新されたWindows 11 25H2とWindows Server 2025で、Falconの「Phase 3 – Optimal Protection」とMicrosoft Officeの悪性マクロ除去機能が有効な環境で動作するとされています。

CrowdStrikeは複数メディアに対し、FalconFlankの主張を調査中と回答し、顧客へ「Microsoft Office File Suspicious Macro Removal Windows」ポリシー設定を無効化するよう案内しています。一方、「Cloud Anti-malware for Microsoft Office Files」による保護は継続するとしています。

FalconFlank自体については9月6日時点でCVE番号やCVSS、正式な影響バージョンは公表されておらず、実際の攻撃での悪用も確認されていません。ただし、セキュリティ研究者Kevin Beaumont氏はFalconFlankそのものが動作することを確認しており、Vegaも独立したラボ環境でPoCを再現したと公表しています。

さらに、同じ研究者が2026年に公開したMicrosoft Defender向けPoCの一部は、その後、実際の侵入で使用されました。こうした経緯を踏まえると、FalconFlankは単なる一製品の不具合としてではなく、高権限でファイルの検査・隔離・修復を行うEDRやアンチウイルス製品に共通し得る攻撃面として検討する必要があります。

FalconFlank調査のサマリー

• 【確認済み】Chaotic Eclipse（別名INFINITE NIGHTMARE、MSNightmare、Nightmare-Eclipse）は2026年9月3日、CrowdStrike Falcon向けPoC「FalconFlank」をGitHubで公開しました。
• 【研究者の主張】FalconのMicrosoft Office悪性マクロ修復機能を悪用し、低権限のローカルユーザーからSYSTEM権限へ昇格できると説明しています。
• 【研究者の主張】完全更新済みのWindows 11 25H2とWindows Server 2025、Falcon Phase 3 – Optimal Protection、Microsoft Office File Malicious Macro Removalが有効な環境で動作するとしています。
• 【第三者確認】The RegisterはKevin Beaumont氏がFalconFlank自体の動作を確認したと報じています。Vegaも9月3日付の公式ブログで、自社ラボにおけるPoC再現を公表しています。一方、SOCRadarは同日付の記事で独立再現を未確認としており、公開情報の評価には差があります。
• 【確認済み】PoCはリモートから直接Falconを侵害するものではなく、ローカルで低権限コードを実行できることを前提とします。
• 【確認済み】CrowdStrikeは主張を調査中とし、「Microsoft Office File Suspicious Macro Removal Windows」ポリシーの無効化を案内しています。
• 【確認済み】CrowdStrikeは同設定を無効にしても「Cloud Anti-malware for Microsoft Office Files」による保護は継続すると説明しています。
• 【確認できず】9月6日時点でFalconFlankにCVE番号、CVSS、正式な影響バージョンは確認できませんでした。
• 【確認できず】FalconFlank自体が実際の攻撃で悪用された事実は確認されていません。
• 【確認済み】同研究者が以前公開したMicrosoft Defender向けBlueHammer、RedSun、UnDefendは、Huntressが実際の侵入調査で実行を確認しています。ただし、その事案では権限昇格そのものは成功していませんでした。
• 【確認済み】Microsoft DefenderのRoguePlanetはCVE-2026-50656、ShieldBreakはCVE-2026-69414としてMicrosoftが追跡しています。
• 【確認済み】Trend Micro Apex Oneでは2023年から2026年にかけ、リンク解釈や高権限の修復・スキャン処理に関係する複数のローカル権限昇格脆弱性が修正されています。
• 【確認済み】Palo Alto Networks Cortex XDR Agentでも、DLL読み込み、検索パス、ユーザー制御ファイル、リンク解決などに関係するローカル権限昇格・情報露出の脆弱性が過去に修正されています。
• 【確認済み】同研究者はKaspersky Endpoint Security向け「HardBreacher」、Gen DigitalのAvast Antivirus向け「PrettyPrague」も公開しました。Kasperskyは修正済み、Gen Digitalは影響を認識しパッチを開発中と回答しています。
• 【重要】他社製品で類似クラスの脆弱性が確認されていることは、FalconFlankが他EDRの現行版でもそのまま動作することを意味しません。
• 【分析】共通するリスクは、高権限のセキュリティエージェントが、低権限ユーザーの影響下にあるパスやファイルを検査・隔離・修復するときの信頼境界にあります。

項目	内容
PoC名	FalconFlank
公開者	Chaotic Eclipse / INFINITE NIGHTMARE / MSNightmare / Nightmare-Eclipse
公開日	2026年9月3日
対象	CrowdStrike Falcon Sensor
種別	ローカル権限昇格（研究者の主張、第三者がPoC動作を確認）
到達権限	SYSTEM
前提	ローカルで低権限コードを実行可能
関係機能	Microsoft Office File Malicious Macro Removal
検証環境	Windows 11 25H2、Windows Server 2025（研究者の説明）
Falcon設定	Phase 3 – Optimal Protection＋マクロ除去機能有効（研究者の説明）
CVE	2026年9月6日時点で未確認
CVSS	未確認
実悪用	FalconFlank自体は未確認
CrowdStrike	調査中
暫定対応	対象マクロ除去ポリシーの無効化
他EDRへの同一PoC適用	確認できず
他EDRで類似脆弱性	過去に複数確認あり

FalconFlankは何を悪用しているのか

FalconFlankの本質は、CrowdStrike Falconの検知エンジンそのものを破ることではありません。

研究者Chaotic Eclipse（別名INFINITE NIGHTMARE、MSNightmare、Nightmare-Eclipse）の説明と公開コードから確認できるのは、FalconがMicrosoft Officeファイルに対して行うマクロ修復処理のような、高権限のファイル操作を攻撃面として利用するPoCだという点です。

WindowsのEDRやアンチウイルス製品は、一般ユーザーでは操作できない領域も含め、ファイルを検査、隔離、削除、置換、修復する必要があります。そのため、多くの処理がSYSTEMなど高い権限で実行されます。

ここで問題となるのが、「低権限ユーザーが影響を与えられるファイルシステム上の状態」と「SYSTEM権限で動く修復処理」の境界です。

処理対象となるファイルやパスについて、確認時点と実際の処理時点で同一性が保証されていなかったり、低権限ユーザーが制御できるパスを高権限処理が信頼したりすると、防御製品自身の権限が攻撃者に利用される可能性があります。

FalconFlankは、この信頼境界を狙ったPoCと整理できます。

セキュリティ対策Labでは、実際の悪用につながるファイル名、リンク作成方法、競合状態を成立させる具体的な操作手順、PoCコードなどは掲載しません。

Chaotic Eclipse：Nightmare Eclipseとは　2026年にゼロデイPoCを連続公開

Nightmare Eclipseは、Chaotic Eclipse、INFINITE NIGHTMARE、MSNightmareなど複数の名義で活動するセキュリティ研究者です。

2026年4月以降、Microsoft Defender、BitLocker、Windowsの各コンポーネントを対象に、未修正または修正が不十分だと主張する脆弱性のPoCを相次いで公開してきました。

セキュリティ対策Labでは、4月に公開されたBlueHammer、RedSun、UnDefendを起点に、この一連の開示を継続して追跡しています。その後もYellowKey、GreenPlasma、MiniPlasma、RoguePlanet、LegacyHiveが公開され、2026年8月のMicrosoft Defender向け「ShieldBreak」は一連の連続開示で通算9件目として取り上げました。

関連記事：Microsoft Defenderの新たなゼロデイ 脆弱性「ShieldBreak」、7月に修正されたはずのRoguePlanetを完全にバイパス Nightmare Eclipseの連続開示、通算9件目

この研究者の特徴は、Microsoft製品の脆弱性だけを継続して調べている点ではありません。

2026年8月末から9月初旬には、Kaspersky Endpoint Security向け「HardBreacher」、Gen DigitalのAvast Antivirus向け「PrettyPrague」、今回のCrowdStrike Falcon向け「FalconFlank」を相次いで公開し、研究対象を主要なエンドポイントセキュリティ製品へ広げています。

FalconFlankは、この流れの中でCrowdStrike Falconの高権限なMicrosoft Officeマクロ修復処理を対象にしたものです。そのため、本件はNightmare Eclipseによる単発のCrowdStrike研究というより、同研究者が2026年を通じて検証してきた「セキュリティ製品自身の高権限処理を攻撃面として利用できないか」という研究の延長線上に位置付けられます。

一方、同研究者が公開したPoCは、すべてが同じ深刻度や実用性を持つわけではありません。

Microsoft Defender向けBlueHammer、RedSun、UnDefendはHuntressが実際の侵入環境で実行を確認しましたが、その事案ではBlueHammerやRedSunによる権限昇格自体は成功していませんでした。また、NVIDIA向けGreenSectionについてKevin Beaumont氏は、システムをクラッシュさせるだけだと評価しています。

したがって、「Nightmare Eclipseが公開したPoC＝すべて実際の攻撃で利用可能」と一括りにせず、個々のPoCについてベンダーの確認、第三者検証、CVE付与、実悪用の有無を分けて評価する必要があります。

CrowdStrikeは調査中、暫定的にマクロ除去機能を無効化

CrowdStrikeはThe Register、The Hacker Newsなど複数メディアに対し、FalconFlankの主張を調査中と回答しています。

同社は顧客に対して「Microsoft Office File Suspicious Macro Removal Windows」ポリシー設定を無効化するよう案内しています。

同設定を無効にした場合でも、「Cloud Anti-malware for Microsoft Office Files」による保護は継続すると説明しています。

詳細はCrowdStrike Support Portal内の「FalconFlank Tech Alert」で案内されています。

FalconFlank Tech Alert – CrowdStrike Support Portal

Tech AlertはCrowdStrike顧客向けの情報で、閲覧にはSupport Portalへのログインが必要です。本記事では一般公開されていない内容については断定しません。Falconを利用する企業は、自社のSupport Portalから最新情報を確認してください。

Kevin Beaumont氏が動作確認、Vegaも自社ラボで再現を公表

FalconFlankについては、公開者本人の主張だけではありません。

The Registerは9月3日、セキュリティ研究者Kevin Beaumont氏がFalconFlank自体の動作を確認したと報じています。同氏は、同じ研究者が直近1週間に公開したHardBreacherやPrettyPragueなど、他の複数のPoCについても動作を確認しています。

さらに、セキュリティ企業Vegaは9月3日付の公式ブログで、FalconFlankの公開PoCを自社の制御されたラボ環境で再現したと公表しています。

一方、CrowdStrike自身は9月6日時点で脆弱性を正式に認定したとは公表しておらず、CVEや影響バージョン、恒久修正も一般公開されていません。「第三者がPoCを再現したこと」と「ベンダーが正式に脆弱性として確定したこと」は分けて整理する必要があります。

Beaumont氏はThe Registerに対し、研究対象がMicrosoft以外の製品へ広がったことについて驚きはないと述べ、エンドポイントセキュリティ製品全体にセキュリティ品質上の課題があるとの見方を示しています。

この見解は、FalconFlankだけを材料に「EDR全般が脆弱」と断定するものではありません。ただし、複数ベンダーの製品で同時期に権限昇格PoCが成立したことは、セキュリティ製品自身の攻撃面を継続的に評価する必要性を示しています。

「Defenderのエクスプロイト再利用」との指摘

Chaotic Eclipseは2026年、Microsoft Defenderに対する複数のPoCを公開しています。

その一つ「RoguePlanet」は、Microsoft Malware Protection Engineの権限昇格脆弱性「CVE-2026-50656」としてMicrosoftが認定しました。MicrosoftのCVE情報では、CWE-59「Improper Link Resolution Before File Access」、いわゆるLink Followingとして分類されています。

その後、同研究者はRoguePlanetの修正を回避する「ShieldBreak」を公開しました。ShieldBreakにはCVE-2026-69414が付与され、MicrosoftはMicrosoft Malware Protection Engineの権限昇格脆弱性として追跡しています。

FalconFlankとRoguePlanet、ShieldBreakは、悪用対象となる製品や具体的な機能が異なります。

一方で、「高権限で動くセキュリティ製品のファイル処理」と「低権限ユーザーが制御できるファイルシステム状態」を組み合わせるという考え方には共通性があります。

したがって、

「Microsoft Defenderで繰り返し研究されてきた、高権限のファイル処理とファイルシステム状態の食い違いを狙うアプローチが、CrowdStrike Falconの別の修復機能にも応用された」

と推測できます。

セキュリティ対策Labでは、ShieldBreakとRoguePlanetについて以下の記事で追跡しています。

• Microsoft Defenderの新たなゼロデイ 脆弱性「ShieldBreak」、7月に修正されたはずのRoguePlanetを完全にバイパス Nightmare Eclipseの連続開示、通算9件目
• Microsoft Defenderのゼロデイ 脆弱性 RoguePlanetにCVE-2026-50656が付与

公開PoCは過去に約1週間で実侵入に持ち込まれた

FalconFlank自体の実悪用は確認されていません。

ただし、同研究者が以前公開したMicrosoft Defender向けPoCについては、公開から短期間で実際の侵入に持ち込まれた事例があります。

Huntressは2026年4月、BlueHammer、RedSun、UnDefendが実際の侵入調査で実行されていたと公表しました。

BlueHammerは日本時間4月3日ごろに公開され、Huntressが確認した最も早い実行は4月10日でした。利用者のPicturesフォルダからBlueHammer由来のバイナリが実行され、Microsoft Defenderによって隔離されています。

その後、4月15日には侵害されたとみられるFortiGate SSL VPNの認証情報を利用した不正ログオン、4月16日にはRedSunとUnDefendの実行が確認されました。

重要なのは、この事案でBlueHammerやRedSunの権限昇格自体は成功していなかった点です。

Huntressは、BlueHammerによる認証情報取得やRedSunによるSYSTEM領域への上書きは成功しなかったとしています。UnDefendも動作した可能性はあるものの、HuntressのSOCがプロセスを停止すると影響は解消されました。

一方、Goで作られたリバーストンネル「BeigeBurrow」は、攻撃者の外部接続維持に利用されたとHuntressは高い確度で評価しています。

つまり、「公開されたPoCが侵入現場で実行された」ことと、「PoCの目的である権限昇格が成功した」ことは別です。

それでも、PoC公開から短期間で実際の攻撃者が試行した事実は、FalconFlankのような公開PoCを「研究用途だから当面無視できる」と扱うべきではない理由になります。

その後、RedSunにはCVE-2026-41091、UnDefendにはCVE-2026-45498が割り当てられ、いずれもCISAのKnown Exploited Vulnerabilities（KEV）Catalogに掲載されています。CISAのCVEレコード反映情報では、両CVEとも2026年5月20日付でKEV追加が記録されています。

関連記事：Microsoft Defenderの脆弱性BlueHammer(CVE-2026-33825)がランサムウェア 攻撃に悪用

Microsoftとの協調的開示の断絶も背景に

FalconFlankを公開した研究者は、2026年4月以降、Microsoftとの脆弱性開示をめぐる対立の中で複数の未修正PoCを公開してきました。

Microsoft Security Response Center（MSRC）は5月27日、BlueHammer、RedSun、UnDefend、YellowKey、GreenPlasma、MiniPlasmaの6件について、公開前に詳細がMicrosoftへ共有されなかったと公式ブログで説明しました。

Microsoftは、未修正脆弱性のPoCを協調なく公開する行為は顧客を危険にさらすとして強く批判し、Digital Crimes Unitに言及しました。この表現は研究者への法的措置を示唆したと受け止められ、セキュリティ研究者コミュニティから反発を招きました。

その後Microsoftは、正当なセキュリティ研究を行い公開する個人を法的措置の対象にする意図はないと説明しています。

一方で、研究者がベンダーとの協調的開示を経ずにPoCを公開する可能性がある以上、企業側では「CVEが付くまで待つ」「正式アドバイザリが出るまで対応しない」という運用では、公開済みの攻撃手法に対する対応が遅れる場合があります。

関連記事：Microsoft、ゼロデイ脆弱性を公表した匿名セキュリティ研究者を「訴追しない」と方針転換-6月にもゼロデイ脆弱性公開 示唆

Trend Micro Apex Oneでは類似クラスのLPEが繰り返し修正

「高権限で動くセキュリティ製品のファイル処理」が過去にどの程度脆弱性につながってきたかを見る上で、Trend Micro Apex Oneの公式アドバイザリは参考になります。

Trend Microは2023年2月9日、CVE-2023-25146とCVE-2023-25148を含む複数の脆弱性を修正しました。

CVE-2023-25146はSecurity AgentのLink Followingによるローカル権限昇格で、ZDI-CAN-17819、CVSS 7.8です。CVE-2023-25148もSecurity Agent Link Following LPEで、ZDI-CAN-18008、CVSS 7.8です。いずれも低権限コードを実行できるローカル攻撃者を前提とします。

2024年12月にも、Apex OneではLink Followingや高権限のファイル処理に関係する複数の脆弱性が修正されています。

例として、CVE-2024-55632はSecurity Agent Link Following LPE、CVE-2024-52048とCVE-2024-52049はLogServerのLink Following LPEとして公表されています。

さらに2025年6月には、CVE-2025-49157が「Damage Cleanup Engine Link Following Local Privilege Escalation Vulnerability」として修正されました。Damage Cleanup Engineは、文字通り検知後の駆除・修復に関係するコンポーネントです。

2026年2月24日には、CVE-2025-71212がScan EngineのLink Following LPEとして公表されました。CWE-59、CVSS 7.8で、ZDI-CAN-24972としてZero Day Initiativeを経由して報告されています。

※これらはFalconFlankと同一の脆弱性ではありません。

ただし、「セキュリティエージェントが高い権限でファイルを検査・修復する際に、リンクやパスの解釈を誤ることでローカル権限昇格につながる」という脆弱性クラスが複数年にわたって実在していることを、Trend Micro自身のアドバイザリが示しています。

特にCVE-2025-49157は修復用コンポーネントそのものが対象であり、「修復機能が攻撃面になり得る」というFalconFlankの論点と直接比較しやすい事例です。

Cortex XDRでもDLL読み込みやパス解決に起因するLPEを修正

Palo Alto NetworksのCortex XDR Agentでも、高権限のエージェント処理に関連するローカル権限昇格脆弱性が過去に修正されています。

CVE-2020-2049は、DLL読み込み制御の不備によって、認証済みローカルユーザーがSYSTEM権限でプログラムを実行できる可能性があった脆弱性です。

CVE-2021-3041とCVE-2021-3042も、ユーザーが影響を与えられるファイルや検索パスの扱いを原因として、ローカルユーザーからSYSTEM権限への昇格につながる可能性がありました。

CVE-2022-0029では、Tech Support File生成時の不適切なリンク解決により、高い権限でファイルを読み取れる問題が修正されています。

これらもFalconFlankと同一の問題ではありません。

それでも、「SYSTEM権限で動作するエンドポイントエージェント」「ユーザー側が影響を与えられるパスやファイル」「高権限処理による読み書き」という信頼境界が、過去に複数の脆弱性を生んできたことは確認できます。

KasperskyはHardBreacherを修正、公式アドバイザリも公開

FalconFlankの数日前、Chaotic EclipseはKaspersky Endpoint Security向けのPoC「HardBreacher」を公開しました。

研究者は、完全に更新されたWindows 11 25H2とKaspersky Endpoint Security 14.0.0.504で動作したと説明しています。

Kasperskyは8月31日付の公式アドバイザリで、HardBreacherで指摘された問題を修正したと公表しました。

対象はKaspersky Endpoint Security for Windows 14.0と14.1で、8月30日以降のアンチウイルスデータベースによって緩和されるとしています。

ただし、ここでは研究者側とKaspersky側の評価を分ける必要があります。HardBreacherの公開者はSYSTEM権限への昇格につながるPoCとして説明していますが、Kasperskyの公式アドバイザリは影響を「アプリケーション機能の部分的な低下につながる可能性」と記載しており、権限昇格脆弱性として正式認定したとは書いていません。

したがって、本記事では「KasperskyがHardBreacherで指摘された問題を修正した」ことまでは確認済みとし、「Kasperskyが権限昇格脆弱性を認めた」とは扱いません。

またThe Registerへの追加回答では、調査の過程で既存の挙動ベース検知を強化し、特定構成下でシステムがフリーズすることを防ぐ改善機会も特定したと説明しています。

この事例でも、高い権限を持つセキュリティ製品自身の挙動が研究対象となり、ベンダーが製品側の防御や安定性を更新しています。

Gen DigitalもAvastのPrettyPragueへの影響を認知

同研究者はGen Digital傘下のAvast Antivirus向けPoC「PrettyPrague」も公開しました。

研究者はAvast Sandboxの処理を悪用し、権限昇格につながると主張しています。Kevin Beaumont氏もPrettyPragueのPoCが動作することを確認したとThe Registerが報じています。

Gen DigitalはThe Registerに対し、Avast Antivirusを含む一部のGen製品に、攻撃者のシステム権限昇格につながり得る脆弱性が存在することを最近把握したと回答しました。

同社はセキュリティ対応手順を開始し、パッチを開発中としています。

研究者はAVGやNortonなど他のGen製品にも影響する可能性があるとの見方を示していますが、この範囲までGen Digitalが正式に確認したわけではありません。

そのため、記事では「Gen DigitalがAvastを含む一部製品への影響を認めた」とし、それ以上の製品名については研究者の主張と分けて扱う必要があります。

GreenSectionは同じ評価ではない　Beaumont氏は「クラッシュのみ」と確認

同研究者は同時期にNVIDIA製品を対象とする「GreenSection」も公開しています。

ただし、Kevin Beaumont氏はThe Registerに対し、GreenSectionはシステムをクラッシュさせるだけだと評価しています。

この点は重要です。

同一研究者が連続して公開しているPoCであっても、すべてが同じ深刻度、同じ実用性を持つわけではありません。FalconFlank、HardBreacher、PrettyPragueについて動作確認を行ったBeaumont氏が、GreenSectionについては異なる評価を示していることは、FalconFlankに対する第三者確認の重みを理解する材料になります。

EDRの「修復機能」が攻撃面になる

FalconFlankで特に注目すべきなのは、研究者が検知エンジンではなく「修復機能」を攻撃面としている点です。

セキュリティ製品は悪性ファイルを検出するだけでなく、削除、隔離、修復、置換、バックアップからの復元といった処理を高い権限で実行します。

防御側から見れば必要な処理ですが、別の見方をすれば「攻撃者が用意したファイルをSYSTEM権限のソフトウェアが触る」処理でもあります。

そのため、検知精度だけでなく、

• 処理対象のパスが途中で変わっていないか
• リンクやリパースポイントの解決結果を安全に扱っているか
• 検査時と実際の書き込み時で同一の対象を保証できているか
• 低権限ユーザーが制御できるディレクトリを高権限処理が信用していないか
• DLLや実行ファイルの読み込み先を厳密に制御しているか

といった実装上の安全性が重要になります。

Trend MicroのDamage Cleanup EngineでCVE-2025-49157が修正されている事実も、修復・駆除機能そのものが脆弱性の攻撃面になり得ることを示しています。

セキュリティ製品を「信頼済みだから安全」と見なさない

EDRやアンチウイルスは攻撃を防ぐ側であるため、一般のアプリケーション以上に信頼されがちです。

しかし、セキュリティ製品自身も巨大なソフトウェアであり、カーネルドライバ、高権限サービス、ファイル修復、クラウド連携、アップデート機構、セルフプロテクションなど、多数の攻撃面を持っています。

今回確認したTrend Micro、Palo Alto Networks、Kaspersky、Gen Digital、Microsoftの事例からも、「高権限で動く防御製品自身がローカル権限昇格や防御回避の攻撃面になる」問題は特定ベンダーだけに限定されていません。

一方で、これをもって現在の主要EDR製品が同一の欠陥を抱えていると一般化することもできません。

重要なのは、EDRを「セキュリティ製品だから脆弱性管理の対象外」とせず、高い権限で動作する重要ソフトウェアとして、OSやブラウザと同様に脆弱性・更新・設定変更を継続管理することです。

情報システム・セキュリティ部門への示唆

CrowdStrike Falconを利用している組織は、まずSupport PortalのFalconFlank Tech Alertを確認し、CrowdStrikeが案内しているMicrosoft Office File Suspicious Macro Removal Windowsポリシーの一時無効化について、自社環境への適用状況を確認する必要があります。

Falcon以外のEDRを利用している企業でも、今回の事案を自社製品の高権限処理を見直す契機にできます。

確認すべきなのは、エージェントの最新バージョンだけではありません。コンテンツ更新や定義更新によって修正される製品もあるため、「製品バージョンは最新だから安全」と判断しないことが重要です。

特に、

• EDRエージェントやアンチウイルスを脆弱性管理対象へ含める
• 過去のローカル権限昇格CVEに未対応端末が残っていないか確認する
• 修復・隔離・スキャン・サポートファイル生成など、高権限ファイル処理に関するアドバイザリを監視する
• センサー本体だけでなく、コンテンツ、エンジン、定義データベースの更新状況も確認する
• PoCのハッシュだけでなく、高権限ファイル操作の異常な挙動を監視する
• 公開PoCについて、CVE付与前でもベンダーのTech Alertや暫定設定変更を脆弱性対応プロセスへ取り込む

といった運用が必要です。

FalconFlankが示したのは「EDRが危険」ということではありません。

むしろ、防御製品は高い権限を必要とするからこそ、その製品自身のセキュア設計、ファイル処理の信頼境界、脆弱性開示への対応、迅速な更新が重要だという点です。

今後確認すべきポイント

FalconFlankについては、CrowdStrikeによる今後の調査結果が重要です。

確認すべきポイントは、

• CrowdStrikeが脆弱性を正式に確認するか
• CVEが付与されるか
• 影響するFalcon Sensorのバージョン
• 影響する設定・ポリシーの範囲
• 恒久修正がSensor更新、コンテンツ更新、クラウド側変更のどれになるか
• CrowdStrikeが実際の攻撃での悪用を確認するか
• マクロ除去以外の修復機能にも同じ信頼境界の問題がないか
• 現在案内されている暫定回避策がいつ解除されるか

です。

同時に、他のエンドポイントセキュリティ製品でも、高権限のファイル処理を対象とする研究が続く可能性があります。

ただし、新しいPoCや公式アドバイザリが確認されるまでは、過去の類似CVEだけを根拠に「他社EDRの現行版も脆弱」と断定しないことが重要です。

出典

• FalconFlank – MSNightmare / GitHub
• Prolific Microsoft 0-day hunter drops CrowdStrike Falcon exploit PoC – The Register
• Researcher Releases FalconFlank PoC Showing Privilege Escalation in CrowdStrike Falcon – The Hacker News
• FalconFlank: a CrowdStrike Falcon 0-day – Vega
• FalconFlank: CrowdStrike Falcon 0-Day PoC – SOCRadar
• Chaotic Eclipse Releases CrowdStrike Falcon Zero-Day FalconFlank: Detection Guidance – Abstract Security ASTRO
• List of Advisories / HardBreacher – Kaspersky
• A shared responsibility: Protecting customers through Coordinated Vulnerability Disclosure – Microsoft Security Response Center
• CVE-2026-50656 Microsoft Defender Elevation of Privilege Vulnerability – Microsoft Security Response Center
• CVE-2026-69414 Microsoft Defender Elevation of Privilege Vulnerability – Microsoft Security Response Center
• CVE-2026-41091 Microsoft Defender Elevation of Privilege Vulnerability – Microsoft Security Response Center
• CVE-2026-45498 Microsoft Defender Denial of Service Vulnerability – Microsoft Security Response Center
• Nightmare-Eclipse Tooling Seen in Real-World Intrusion – Huntress
• SECURITY BULLETIN: February 2023 Security Bulletin for Trend Micro Apex One – Trend Micro
• SECURITY BULLETIN: December 2024 for Trend Micro Apex One – Trend Micro
• SECURITY BULLETIN: June 2025 for Trend Micro Apex One – Trend Micro
• SECURITY BULLETIN: Apex One and Apex One (Mac) – February 2026 – Trend Micro
• CVE-2020-2049 Cortex XDR Agent – Palo Alto Networks
• CVE-2021-3041 Cortex XDR Agent – Palo Alto Networks
• CVE-2021-3042 Cortex XDR Agent – Palo Alto Networks
• CVE-2022-0029 Cortex XDR Agent – Palo Alto Networks
• Microsoft Defenderのゼロデイ 脆弱性 RoguePlanetにCVE-2026-50656が付与 – セキュリティ対策Lab
• Microsoft Defenderの新たなゼロデイ 脆弱性「ShieldBreak」、7月に修正されたはずのRoguePlanetを完全にバイパス Nightmare Eclipseの連続開示、通算9件目 – セキュリティ対策Lab
• Microsoft Defenderの脆弱性BlueHammer(CVE-2026-33825)がランサムウェア 攻撃に悪用 – セキュリティ対策Lab
• Microsoft、ゼロデイ脆弱性を公表した匿名セキュリティ研究者を「訴追しない」と方針転換-6月にもゼロデイ脆弱性公開 示唆 – セキュリティ対策Lab