Уязвимости Nightmare Eclipse обнародовал эксплоит для уязвимости в CrowdStrike Falcon

[user]

ИБ-исследователь, известный под псевдонимом Nightmare Eclipse (он же Chaotic Eclipse), который в последние месяцы регулярно публиковал 0-day для Windows, переключился на других вендоров. Специалист опубликовал эксплоит для 0-day-уязвимости Для просмотра ссылки Войди или Зарегистрируйся, которая затрагивает платформу для защиты конечных точек CrowdStrike Falcon и позволяет повысить привилегии.

Напомним, что с весны 2026 года Nightmare Eclipse регулярно публикует эксплоиты для различных 0-day-уязвимостей, преимущественно затрагивающих Windows и Microsoft Defender. Сейчас на его счету уже девять таких 0-day.

Дело в том, что исследователь обвиняет специалистов Microsoft Security Response Center в игнорировании отчетов об уязвимостях, блокировке его аккаунтов, удалении репозиториев с эксплоитами, издевательствах и угрозах. То есть раскрытие уязвимостей до выхода патчей является для Nightmare Eclipse формой протеста и мести.

В свою очередь представители Microsoft Для просмотра ссылки Войди или Зарегистрируйся публикацию эксплоитов и раскрытие информации об уязвимостях до выхода исправлений. Об этом затяжном конфликте мы рассказывали в Для просмотра ссылки Войди или Зарегистрируйся.

Однако на этот раз Nightmare Eclipse утверждает, что обнаружил проблему не в продукции Microsoft, а в CrowdStrike Falcon. По его словам, баг связан с функцией удаления подозрительных макросов из документов Microsoft Office: Falcon автоматически проверяет такие файлы и при обнаружении потенциально опасных макросов удаляет их до открытия документа пользователем. Уязвимость FalconFlank позволяет злоупотребить этим механизмом для повышения привилегий.
По информации специалиста, его PoC-эксплоит работает в полностью обновленных Windows 11 25H2 и Windows Server 2025, если в CrowdStrike Falcon используется конфигурация Phase 3 — Optimal Protection и включено удаление вредоносных макросов.


Для просмотра ссылки Войди или Зарегистрируйся


Однако в настоящее время разработчики CrowdStrike, скорее всего, уже научили Falcon обнаруживать этот эксплоит. Поэтому Nightmare Eclipse полагает, что для тестирования может понадобиться добавить его в исключения, обфусцировать код и изменить способ загрузки DLL.


Представители CrowdStrike сообщили изданию Для просмотра ссылки Войди или Зарегистрируйся, что уже изучают информацию об уязвимости, и пока клиентам рекомендуют отключить политику Microsoft Office File Suspicious Macro Removal в Windows. При этом защита документов Office продолжит работать через настройку Cloud Anti-malware for Microsoft Office Files.


Работоспособность эксплоита FalconFlank уже Для просмотра ссылки Войди или Зарегистрируйся известный ИБ-эксперт Кевин Бомонт (Kevin Beaumont). Также он проверил несколько других эксплоитов, которые Nightmare Eclipse обнародовал за последнюю неделю.

По мнению Бомонта, переход исследователя от Microsoft к другим производителям вполне закономерен, поскольку проблемы с безопасностью есть во всем сегменте endpoint-защиты.

«Надеюсь, это заставит ИБ-вендоров поднять планку, перестать раздувать тему гипотетических атак с использованием ИИ и вместо этого заняться безопасностью собственных продуктов», — говорит Бомонт.

Следует отметить, что FalconFlank — не первый эксплоит Nightmare Eclipse за последние дни, не связанный с Microsoft. Так, в конце августа 2026 года исследователь опубликовал информацию о проблеме Для просмотра ссылки Войди или Зарегистрируйся — 0-day для повышения привилегий в Kaspersky Endpoint Security. Тогда представители «Лаборатории Касперского» сообщали, что проблема уже устранена, и исправление распространяется через автоматические обновления.

Другая свежая уязвимость, найденная Nightmare Eclipse, Для просмотра ссылки Войди или Зарегистрируйся, затрагивает антивирус Avast, принадлежащий компании Gen Digital. Этот баг позволяет злоупотребить Avast Sandbox, извлечь базу SAM и получить шелл с правами SYSTEM. Представители Gen Digital уже подтвердили наличие проблемы в некоторых продуктах и сообщили, что работают над исправлениями.

Также Nightmare Eclipse раскрыл информацию о 0-day-уязвимости под названием Для просмотра ссылки Войди или Зарегистрируйся, которая связана с повреждением памяти в ПО Nvidia. Однако, по словам Бомонта, этот баг позволяет лишь вызвать сбой в работе системы, но не приводит к другим, более опасным последствиям.

Для просмотра ссылки Войди или Зарегистрируйся