Der PoC zu FalconFlank setzt an einer Funktion an, die eigentlich der Absicherung dient: der Remediation schädlicher Office-Makros im CrowdStrike Falcon Sensor. Über deren Missbrauch lassen sich laut Chaotic Eclipse höhere Rechte erlangen. Getestet wurde der Exploit auf einem vollständig gepatchten Windows 11 25H2 und auf Windows Server 2025. Ob CrowdStrike bereits reagiert hat, ist offen – The Hacker News bat um Stellungnahme.
Nur wenige Tage vorher hatte derselbe Forscher unter dem Namen HardBreacher einen Exploit für eine Rechteausweitung in Kasperskys Endpoint-Security-Produkt für Windows in Version 14.0.0.504 veröffentlicht. Der Code ist erklärtermaßen unfertig: „Der PoC ist wirklich nicht in bestem Zustand, er ist im Grunde mit Klebeband zusammengehalten, ich habe es gerade so zum Laufen gebracht, und das war es", schreibt der Forscher. Der Exploit brich häufig mit einem Fehler ab und müsse mehrfach neu gestartet werden. Gelingt der Durchlauf, legt er unter C:\Windows\System32\MY_SNAKE_IS_SOLID.dll eine Datei mit vollen Rechten für den aktuellen Benutzer an.
Besonders bemerkenswert findet der Forscher die Nebenwirkungen: Übernehme man die Kontrolle über den UI-Prozess, verliere Kaspersky vollständig die Kontrolle – die Software könne zum Stillstand gebracht werden, Zugriff auf Dateien freigeben oder blockieren, die sie eigentlich nicht betreffen sollten. Bei erfolgreichem Ablauf werde das gesamte Betriebssystem zu einem „heißen Chaos".
Im vergangenen Monat hatte Chaotic Eclipse zudem einen PoC für einen Microsoft-Defender-Zero-Day namens ShieldBreak veröffentlicht, geführt als CVE-2026-69414. Damit lässt sich beliebiger Code mit den Rechten von NT AUTHORITY\SYSTEM ausführen. Die Lücke wird als Umgehung des Patches für CVE-2026-50656 (RoguePlanet) eingeschätzt; einen Fix hat Microsoft bislang nicht veröffentlicht.
LevelBlue ordnet ShieldBreak in eine Reihe verwandter Techniken ein: Während RedSun die Cloud Files API und den TieringEngineService missbrauchte, um einen Defender-Schreibvorgang nach System32 umzuleiten, und LegacyHive die Offline-Manipulation von Registry-Hives sowie den Namespace des NT Object Manager nutzte, kombiniere ShieldBreak Cloud Files, Manipulation des Object-Manager-Namespace, den direkten Aufruf der Windows-Defender-API und ein Wettlaufrennen im Bereinigungspfad. Das Ergebnis sei eine in sich geschlossene lokale Rechteausweitungskette, bei der Defenders eigene Bereinigungs-Engine dazu gebracht wird, eine vom Angreifer bereitgestellte DLL nach C:\Windows\System32\phoneinfo.dll zu schreiben; die Ausführung als SYSTEM erfolgt anschließend über die eingebaute Aufgabe der Windows-Fehlerberichterstattung.
Die Veröffentlichungsserie begründet der Forscher mit dem Verhalten Microsofts. In einem Beitrag vom 14. August 2026 erklärte er, das Unternehmen ignoriere ihn und verweigere „jede Art von Kommunikation", zudem versuche man, ihn „als irgendeinen wahnsinnigen Kriminellen darzustellen". Wegen der von Microsoft verhängten Einschränkungen könne er gefundene Fehler nicht einmal an die jeweiligen Hersteller melden. Und weiter: „Ich denke, ich fange an, Bugs für Dritte in dem Zeitfenster zu veröffentlichen, in dem der Patch Tuesday noch nicht erschienen ist. Ich will einfach einmal in meinem Leben wie ein normaler Mensch leben, ist das zu viel verlangt …?"