CrowdStrike FalconのOfficeマクロ除去の脆弱性
Vegaの2026年9月3日の報告によると、研究者Chaotic Eclipseが公開したPoC「FalconFlank」は、Falconによる悪性のOfficeマクロの除去を悪用し、低権限のWindowsユーザーをSYSTEMにする［5］。CrowdStrikeは9月15日のアドバイザリで、Officeマクロ除去の脆弱性CVE-2026-40058の修正版を出し、実環境での悪用の兆候は無いとした［1、2］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS | 8.8（CrowdStrikeがCVSS v3.1で評価、HIGH） | ［1］ |
| NVDの状態 | Awaiting Analysis（評価はCrowdStrikeの値だけ） | ［3］ |
| CWE | CWE-367（TOCTOUの競合状態）、CAPEC-27（シンボリックリンクを介した競合状態の悪用） | ［1］ |
| 悪用されたときの影響 | 権限の無いコンテキストから保護された場所への任意のファイル書き込み（ローカルの権限昇格に至りうる） | ［1］ |
CrowdStrikeは開発者向け資料で、Officeファイルのマクロ除去の設定を、潜在的に悪意あるマクロを識別し、防御が有効ならファイルを隔離するか、悪意あるマクロを除去してからホストに戻すものと説明している［13］。Abstract Securityは、この機能がFalconの修復機能の一部で、高い権限で動くと書いた［6］。
Arctic Wolf Labsの報告によると、攻撃はTOCTOUの競合状態を使い、脆弱なシステムでコードを実行できる攻撃者にFalconのマクロ修復の処理を乗っ取らせる［7］。Arctic Wolf Labsは、その結果としてDLLサイドローディングが起き、NT AUTHORITY\SYSTEMとして実行されると説明した［7］。
Vegaは報告で、ラボで再現したPoCの動作を手順ごとに説明した［5］。
- ユーザー自身のTempフォルダに偽のフォルダの階層を作り、悪意あるbcrypt.dllを置く［5］。
- そのDLLにoplockを置き、何かがファイルに触れたときにわずかな時間を得る［5］。
- その間に偽のフォルダを消し、System32にある本物のPowerShellのフォルダを指すNTFSジャンクションに置き換える［5］。
- Transacted NTFSで本物のbcrypt.dllを開いて上書きし、1つのトランザクションでコミットする［5］。
- Falconが入れる、SYSTEMで動くスケジュールタスクMareBackupを起動させ、悪意あるbcrypt.dllを読み込ませて、攻撃者のコードをSYSTEMで実行する［5］。
- 名前付きパイプをSYSTEMの権限の命令の経路にする［5］。
Security Affairsが引用した研究者の告知では、PoCは今のところ、完全に更新したWindows 11 25H2かWindows Server 2025で、CrowdStrike Falconの「Phase 3 Optimal Protection」の下で動く［12］。動作には「Microsoft Office file malicious macro removal」も必要である［12］。
The Hacker Newsは、研究者がGitHubのREADMEで、CrowdStrikeがすでにこの欠陥の検知を持っている可能性に触れたと報じた［8］。研究者は、試すには除外に加えるか、PoCを難読化してDLLの読み込みの手法を変える必要があるとも書いた［8］。Abstract Securityは、公開のPoCそのものをFalconが検知して阻止しても、根本の弱点は残りうるとの見方を示した［6］。
同じ研究者の別の公開について、Abstract Securityの報告では、Chaotic EclipseはKaspersky Endpoint SecurityとGen Digital Avast Antivirusのゼロデイも公開している［6］。過去の公開は主にWindowsやMicrosoft DefenderなどのMicrosoftの製品を対象にし、一部は後に実環境で悪用された［6］。SecurityWeekは、研究者が前の週の短い期間に、PrettyPrague・FalconFlank・GreenSectionの3つのゼロデイのエクスプロイトを公開したと報じた［9］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | CVE-2026-40058の番号が予約された | ［2］ |
| 2026年 | Chaotic Eclipse | Patch Tuesdayの前の時期にサードパーティのバグを公開し始めると投稿した | ［8］ |
| 2026年 | Chaotic Eclipse | FalconFlankのPoCを公開した | ［5、6］ |
| 2026年 | Vega | PoCをラボで再現し、リアルタイムの検知を出した | ［5］ |
| 2026年 | CrowdStrike | 報道機関への声明で、研究者の主張を調査中と述べた | ［8］ |
| 2026年 | CrowdStrike | アドバイザリとCVEレコードを公開し、修正版を出した | ［1、2］ |
| 2026年 | NIST | NVDにCVE-2026-40058を掲載した | ［3］ |
対象の製品と版
CrowdStrikeのアドバイザリによると、ホストの防御ポリシーで「Microsoft Office File Malicious Macro Removal」を有効にしたFalcon sensor for Windowsが影響を受ける［1］。Mac・Linux・Legacy Systems向けのFalcon sensorは影響を受けない［1］。同じ機能を基にしたCrowdStrike Laroux Malware Cleanup Toolも影響を受ける［1］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Falcon sensor for Windows（8.10） | 8.10.21405 | 8.10.21408以降 | ［1］ |
| Falcon sensor for Windows（7.40） | 7.40.21306 | 7.40.21309 | ［1］ |
| Falcon sensor for Windows（7.39） | 7.39.21108、7.39.21105 | 7.39.21113 | ［1］ |
| Falcon sensor for Windows（7.38 LTS） | 7.38.21003 LTS | 7.38.21007 LTSと、それ以降の7.38 LTSのMaintenance Release | ［1］ |
| Falcon sensor for Windows（7.37） | 7.37.20907 | 7.37.20912 | ［1］ |
| Falcon sensor for Windows（7.36） | 7.36.20805 | 7.36.20807 | ［1］ |
| Falcon sensor for Windows（7.35） | 7.35.20709 | 7.35.20712 | ［1］ |
| Falcon sensor for Windows（7.34） | 7.34.20610 | 7.34.20613 | ［1］ |
| Falcon sensor for Windows（7.32 LTS） | 7.32.20406 LTS MR2、7.32.20405 LTS MR1、7.32.20403 LTS | 7.32.20410 LTS | ［1］ |
| Falcon sensor for Windows（7.16、Windows 7/2008 R2のみ） | 7.16.18642、7.16.18637、7.16.18635、7.16.18632 | 7.16.18644 | ［1］ |
| Falcon sensor for Windows（サポート外） | 7.33、7.31以前 | 出ない | ［1］ |
| Laroux Malware Cleanup Tool | 1.3.65.0以前 | 1.4.70.0 | ［1］ |
悪用の状況
CrowdStrikeはアドバイザリで、脅威ハンティングとインテリジェンスのチームが悪用の兆候を継続して監視していると説明した［1］。CISAはCVEレコードのADP（Vulnrichment）で、SSVCのExploitationをnone、Automatableをno、Technical Impactをtotalとした［2］。
Arctic Wolf Labsの9月4日の報告では、攻撃は報告されていない［7］。Arctic Wolf Labsは、検知は難しく、ハッシュに基づくウイルス対策のシグネチャは容易に回避されると書いた［7］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| フォルダのパス | ...\Temp\Flanker_<random>\WindowsPowerShell\v1.0\ | Vega | ［5］ |
| 名前付きパイプ | FALCONFLANK | Vega | ［5］ |
| プロセス | csfalconservice.exeから起動された異常なSYSTEMのプロセス | Arctic Wolf Labs | ［7］ |
| DLLの読み込み | 異常なDLLの読み込み | Arctic Wolf Labs | ［7］ |
| ファイル | FalconFlank.exe | Arctic Wolf Labs | ［7］ |
Vegaのラボでは、System32の本物のパスへの最後の上書きがFalconのテレメトリに現れなかった［5］。SecurityWeekは、研究者のKevin Beaumontが前の週の終わりに、Avast・CrowdStrike・Kasperskyのエクスプロイトが動くと述べたと報じた［9］。
修正と回避策
CrowdStrikeは9月3日の声明で、「Microsoft Office File Suspicious Macro Removal」〔注1〕のWindowsポリシー設定を無効にするよう顧客に勧めた［8］。参照先には、サポートポータルの「FalconFlank Tech Alert」を挙げている［8］。声明とアドバイザリでは、顧客は「Cloud Anti-malware for Microsoft Office Files」の設定で引き続き保護されると説明した［1、8］。
開発者向け資料では、この設定の説明はマクロ除去の設定と同じで、検知と防御の機械学習のレベルを別々に持つ［13］。
CrowdStrikeはアドバイザリで、影響を受ける版のWindowsホストを修正版へ更新し、暫定の緩和策としてマクロ除去の設定を無効にしていた場合は有効に戻すよう顧客に求めた［1］。サポートを終えた7.33と7.31以前の版のホストには、サポート対象の修正版への更新を勧めている［1］。
未公表の事項
- アドバイザリのCVE-2026-40058とFalconFlankとの対応
- 影響を受けた顧客と端末の数
- 研究者からCrowdStrikeへの事前の報告の有無
- サポートポータルの「FalconFlank Tech Alert」の内容
- CrowdStrikeの説明での悪用の具体的な手順
注
出典
当事者
- ［1］CrowdStrike, Inc.『CVE-2026-40058 - Vulnerability Affecting Office Macro Removal in CrowdStrike Falcon Sensor for Windows』（2026年9月15日公開、2026年9月21日更新）
公的機関
- ［2］CVE Program『CVE-2026-40058 Vulnerability Affecting Office Macro Removal in CrowdStrike Falcon Sensor for Windows』（2026年9月15日公開）
- ［3］National Institute of Standards and Technology『CVE-2026-40058』（2026年9月15日公開、2026年9月18日更新）
調査・観測
- ［5］Vega『FalconFlank: a CrowdStrike Falcon 0-day』（2026年9月3日公開）
- ［6］Abstract Security『Chaotic Eclipse Releases CrowdStrike Falcon Zero-Day FalconFlank: Detection Guidance』（2026年9月3日公開、2026年9月30日更新）
- ［7］Arctic Wolf Networks, Inc.『CrowdStrike Falcon Sensor Local Privilege Escalation Zero-Day (FalconFlank)』（2026年9月4日公開、2026年9月9日更新）
報道機関
- ［8］The Hacker News『Researcher Releases FalconFlank PoC Showing Privilege Escalation in CrowdStrike Falcon』（2026年9月3日公開）
- ［9］Wired Business Media『Nightmare Eclipse Drops CrowdStrike, Nvidia, Avast Zero-Day Exploits』（2026年9月7日公開）
- ［12］Security Affairs『Chaotic Eclipse Releases Crowdstrike Falcon ZeroDay FalconFlank』（2026年9月3日公開、2026年9月9日更新）
背景資料
- ［13］CrowdStrike, Inc.『prevention_policy_windows』（公開日不明、2026年11月7日閲覧）
更新記録
- 2026年9月5日：公開した。
- 2026年9月7日：SecurityWeekの9月7日の記事（出典9）を加え、研究者の別の公開を「脆弱性の内容」に、第三者による動作の確認を「悪用の状況」に加えた。
- 2026年9月9日：Arctic Wolf Labsの報告（出典7）とSecurity Affairsの記事（出典12）の9月9日の更新に合わせ、「脆弱性の内容」と「悪用の状況」を改めた。
- 2026年9月15日：CrowdStrikeのアドバイザリ（出典1）、CVEレコード（出典2）、NVDの登録（出典3）を加え、リードと「時系列」「対象の製品と版」「悪用の状況」「修正と回避策」を改めた。
- 2026年9月18日：NVDの9月18日の更新（出典3）に合わせ、「脆弱性の内容」の表を改めた。
- 2026年9月21日：アドバイザリの9月21日の更新（出典1）に合わせ、「対象の製品と版」を改めた。
- 2026年9月30日：Abstract Securityの報告の9月30日の更新（出典6）に合わせ、「脆弱性の内容」を改めた。