Der Sicherheitsforscher mit dem Pseudonym MSNightmare (INFINITE NIGHTMARE) hat auf GitHub einen öffentlichen PoC-Exploit mit dem Namen FalconFlank veröffentlicht, der als Schwachstelle zur Privilegienerweiterung im CrowdStrike Falcon Sensor beschrieben wird. Es ist die dritte Veröffentlichung des Forschers innerhalb der letzten Wochen: Zuvor wurden ähnliche Schwachstellen in Kaspersky Endpoint Security und Microsoft Defender offengelegt. Keine der drei Schwachstellen, die CrowdStrike und Kaspersky betreffen, wurde bislang von den Herstellern bestätigt, mit einem CVE-Identifier versehen oder unabhängig validiert. Organisationen, die diese Produkte einsetzen, sollten Hersteller-Updates eng verfolgen und das Endpoint-Monitoring verstärken.
FalconFlank: angebliche Schwachstelle in CrowdStrike Falcon
Gemäß der Beschreibung im FalconFlank-Repository nutzt der Exploit den Mechanismus zur Entfernung bösartiger Office-Makros im CrowdStrike Falcon Sensor zur Privilegienerweiterung. Der Forscher behauptet, dass der PoC auf vollständig aktualisierten Systemen mit Windows 11 25H2 und Windows Server 2025 funktioniert, wenn Phase 3 Optimal Protection aktiviert und die Funktion zur Entfernung bösartiger Microsoft-Office-Makros eingeschaltet ist.
Wichtig zu betonen: Diese Aussagen stammen ausschließlich aus dem vom Forscher kontrollierten Repository. Zum Zeitpunkt der Veröffentlichung liegt weder eine offizielle Reaktion von CrowdStrike, noch eine Zuweisung eines CVE-Identifiers oder eine unabhängige Reproduktion der Schwachstelle vor. Der Exploit-Status wird als vorhandener öffentlicher PoC klassifiziert – bestätigte Fälle eines Einsatzes in realen Angriffen sind nicht bekannt.
HardBreacher: Kaspersky Endpoint Security
Einige Tage zuvor veröffentlichte derselbe Forscher den PoC-Exploit HardBreacher, der auf Kaspersky Endpoint Security für Windows in der Version 14.0.0.504 abzielt. Der Autor selbst bezeichnet den PoC als instabil: Der Exploit kann mehrfach mit einem Fehler abbrechen und erfordert wiederholte Ausführungen. Im Erfolgsfall wird nach Angaben des Forschers eine DLL-Datei im Verzeichnis C:\Windows\System32 mit vollen Rechten für den aktuellen Benutzer erstellt, und der User-Interface-Prozess von Kaspersky verliert die Kontrolle über das Betriebssystem.
Wie bei FalconFlank fehlen für HardBreacher ein CVE-Identifier, eine CVSS-Bewertung und jegliche Stellungnahme von Kaspersky. Sämtliche technischen Aussagen stützen sich ausschließlich auf die Beschreibung im Repository des Forschers.
ShieldBreak: die am besten dokumentierte der drei Schwachstellen
Im Unterschied zu den beiden vorherigen Offenlegungen verfügt die Schwachstelle ShieldBreak in Microsoft Defender über eine deutlich fundiertere Beleglage. Nach Angaben der Analyse von Qualys wurde der öffentliche PoC am 12. August 2026 veröffentlicht, und am 14. August vergab Microsoft für die Schwachstelle den Identifier CVE-2026-69414.
Zentrale technische Eckdaten von ShieldBreak:
- CVSS 3.1: 7.8 (High) – Vektor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H, gemäß dem Eintrag in der GitHub Advisory Database (Status – nicht begutachtet)
- Betroffene Komponente: Microsoft Malware Protection Engine (Engine von Microsoft Defender)
- Typ: lokale Privilegienerweiterung auf NT AUTHORITY\SYSTEM
- Testplattformen: Windows 11 25H2, Windows Server 2025
- Patch-Status: Nach Angaben von Qualys war zum 27. August 2026 noch kein Fix von Microsoft veröffentlicht
ShieldBreak wird als Umgehung des Patches für die zuvor behobene Schwachstelle CVE-2026-50656 (RoguePlanet) positioniert, die ebenfalls eine CVSS-Bewertung von 7.8 aufweist. Laut der Microsoft-Defender-Dokumentation wurde RoguePlanet mit dem Update vom 30. Juni 2026 behoben (Plattform 4.18.26060.3008, Engine 1.1.26060.3008). Dieses Fix bezieht sich jedoch ausdrücklich auf CVE-2026-50656 und nicht auf CVE-2026-69414 – diese Schwachstellen dürfen nicht miteinander verwechselt werden.
Technisch kombiniert ShieldBreak mehrere Angriffsvektoren: Manipulation der Cloud Files API, des Namensraums des NT Object Managers, direkten Aufruf der Windows-Defender-API und eine Race Condition im Threat-Removal-Prozess. Das Ergebnis ist eine Umleitung des eigenen Bereinigungsmechanismus von Defender, um eine beliebige DLL in System32 zu schreiben und anschließend über eine integrierte Windows-Error-Reporting-Aufgabe mit SYSTEM-Rechten auszuführen.
Bewertung der Auswirkungen
Alle drei Offenlegungen betreffen Produkte von drei der größten Anbieter für Endpoint-Schutz: CrowdStrike, Kaspersky und Microsoft. Allen drei Schwachstellen ist gemeinsam, dass sie die Mechanismen zur Threat-Removal der Schutzlösungen selbst zur Privilegienerweiterung missbrauchen. Dadurch entsteht eine paradoxe Situation: Sicherheitstools können potenziell selbst zum Angriffsvektor werden.
Am stärksten gefährdet sind Organisationen, die die genannten Produkte auf Systemen mit Windows 11 25H2 und Windows Server 2025 einsetzen. Der Grad der Bestätigung der Bedrohungen unterscheidet sich jedoch deutlich:
- ShieldBreak (CVE-2026-69414): hoher Bestätigungsgrad – CVE vergeben, unabhängige Analyse durch Qualys, CVSS-Bewertung 7.8
- FalconFlank und HardBreacher: niedriger Bestätigungsgrad – lediglich die Aussagen des Forschers, ohne CVE und ohne unabhängige Validierung
Empfehlungen
Für Organisationen, die die betroffenen Produkte einsetzen:
- Microsoft Defender: Verfolgen Sie die Veröffentlichung eines Updates für CVE-2026-69414 über das MSRC-Portal. Stellen Sie sicher, dass der Fix für CVE-2026-50656 (Plattform 4.18.26060.3008) bereits installiert ist. Ziehen Sie die in der Qualys-Analyse beschriebenen Zwischenmaßnahmen in Betracht, bis ein offizieller Patch verfügbar ist.
- CrowdStrike Falcon: Beobachten Sie die offiziellen Security Bulletins von CrowdStrike. Solange der Hersteller die Schwachstelle nicht bestätigt, sind keine sofortigen Maßnahmen erforderlich, ein verstärktes Monitoring von Ereignissen rund um die Verarbeitung von Office-Makros ist jedoch sinnvoll.
- Kaspersky Endpoint Security: Entsprechend sollten Sie die Reaktion des Herstellers verfolgen. Achten Sie auf auffälliges Verhalten der User-Interface-Prozesse von Kaspersky und auf das Auftreten unerwarteter DLL-Dateien in System32.
- Für alle drei Produkte: Verstärken Sie das Monitoring der Dateierstellung im Verzeichnis C:\Windows\System32, insbesondere von DLL-Dateien, die von nicht privilegierten Prozessen erzeugt werden.
Die Reaktionspriorität sollte auf ShieldBreak (CVE-2026-69414) liegen, da dies die einzige der drei Schwachstellen mit bestätigtem CVE und unabhängiger Analyse ist. Für FalconFlank und HardBreacher genügt vorerst ein Beobachtungsmodus, bis eine Bestätigung durch die Hersteller erfolgt oder CVE-Identifier vergeben werden. Organisationen, die Microsoft Defender auf Windows 11 25H2 und Windows Server 2025 betreiben, sollten die verfügbaren Mitigations für CVE-2026-69414 umsetzen und das Update unmittelbar nach Veröffentlichung durch Microsoft installieren.
