La vulnerabilidad explota el mecanismo de remediación de macros maliciosos de Office en el sensor de endpoint, sin parche disponible.
Un investigador de seguridad que opera bajo el alias Chaotic Eclipse publicó un proof-of-concept funcional de una vulnerabilidad zero-day en CrowdStrike Falcon Sensor. La falla, denominada FalconFlank, permite escalar privilegios en sistemas protegidos por la plataforma de detección y respuesta de endpoints al abusar del mecanismo que el sensor utiliza para remediar macros maliciosos en documentos de Office. El código de explotación está disponible en GitHub desde hace días, sin que CrowdStrike haya emitido un parche o mitigación oficial al momento de esta publicación.
Cómo una función de protección se convierte en vector de ataque
FalconFlank no ataca una falla de programación tradicional en el código del sensor, sino que explota la lógica de una función de seguridad. CrowdStrike Falcon Sensor incluye capacidades de remediación automatizada para neutralizar macros maliciosos detectados en archivos de Microsoft Office. Este mecanismo requiere permisos elevados para modificar archivos en zonas protegidas del sistema y desactivar componentes potencialmente peligrosos sin intervención del usuario. La vulnerabilidad aprovecha precisamente ese nivel de privilegios: al manipular el flujo de remediación, un atacante con acceso local limitado puede forzar al sensor a ejecutar operaciones con privilegios de sistema que normalmente estarían fuera de su alcance.
El investigador Chaotic Eclipse — conocido también como INFINITE NIGHTMARE, MSNightmare y Nightmare-Eclipse en distintas comunidades de seguridad — documentó el proceso de explotación en un archivo README publicado junto al código. La técnica no requiere interacción del usuario ni condiciones de carrera complejas: basta con preparar un archivo de Office específicamente formateado y colocarlo en una ubicación donde el sensor lo procese durante su ciclo de escaneo. Cuando Falcon Sensor intenta remediar el supuesto macro malicioso, el atacante ya controla el contexto de ejecución y puede inyectar comandos arbitrarios con privilegios elevados.
El patrón de divulgación sin coordinación que se repite en 2026
La publicación de FalconFlank sigue un patrón que se volvió recurrente en los últimos meses: investigadores independientes que optan por la divulgación pública inmediata sin coordinación previa con el fabricante. Chaotic Eclipse no reportó la vulnerabilidad a CrowdStrike antes de liberar el PoC, lo que deja a los administradores de sistemas sin opciones de mitigación más allá de deshabilitar la función de remediación automatizada de macros — una medida que reduce la efectividad del producto. Este enfoque contrasta con el modelo de divulgación responsable que predominó en la industria durante años, donde se otorgaban entre 90 y 120 días para desarrollar un parche antes de hacer pública la falla.
CrowdStrike enfrenta ahora una ventana de exposición indeterminada. La empresa no ha confirmado si está trabajando en un parche ni ha emitido un advisory de seguridad con mitigaciones temporales. Mientras tanto, el PoC en GitHub acumula forks y estrellas, lo que indica que otros investigadores — y potencialmente atacantes — están probando y adaptando el código. La ausencia de un CVE asignado sugiere que el proceso formal de catalogación de la vulnerabilidad ni siquiera comenzó, lo que complica el seguimiento para equipos de seguridad que dependen de bases de datos de vulnerabilidades para priorizar parches.
Exposición en América Latina por adopción corporativa de Falcon
CrowdStrike Falcon tiene presencia significativa en el mercado corporativo latinoamericano, especialmente en sectores financiero y de telecomunicaciones en Brasil, México y Colombia. Empresas que adoptaron la plataforma como solución de EDR centralizada para operaciones regionales quedan expuestas a esta vulnerabilidad sin capacidad de mitigación efectiva hasta que CrowdStrike libere un parche. La escalada de privilegios local puede parecer menos crítica que una ejecución remota de código, pero en entornos donde un atacante ya logró acceso inicial — por ejemplo, mediante phishing o credenciales comprometidas — FalconFlank convierte ese punto de apoyo limitado en control total del endpoint.
El riesgo se amplifica en organizaciones que implementaron Falcon como reemplazo de antivirus tradicionales bajo la premisa de que la plataforma bloquearía intentos de escalada de privilegios. Un atacante que combine FalconFlank con técnicas de persistencia puede mantener acceso elevado incluso después de que el equipo de respuesta a incidentes detecte la intrusión inicial, porque el propio sensor de seguridad se convierte en el mecanismo de escalada. Para equipos de seguridad en la región que operan con presupuestos ajustados y dependen de un único proveedor de EDR, la falta de alternativas de mitigación inmediata representa un problema operativo concreto.
Qué sabemos y qué todavía falta confirmar sobre el alcance de FalconFlank
El PoC publicado demuestra explotación exitosa en al menos una versión de CrowdStrike Falcon Sensor, pero el README no especifica qué versiones del producto son vulnerables ni si la falla afecta a todas las plataformas soportadas — Windows, Linux y macOS. Tampoco está claro si la vulnerabilidad requiere que la función de remediación de macros esté activamente habilitada o si afecta también a configuraciones donde esa capacidad está desactivada pero el código vulnerable sigue presente en el sensor. CrowdStrike no ha publicado una matriz de versiones afectadas ni ha confirmado si versiones anteriores del sensor también son explotables mediante la misma técnica.
La ausencia de detalles técnicos completos en el README — probablemente una decisión deliberada del investigador para limitar la reproducción inmediata — deja interrogantes sobre la complejidad real de la explotación. El PoC podría requerir condiciones específicas de configuración del sistema operativo o de políticas de Falcon que no están documentadas en el repositorio público. Sin embargo, el hecho de que el código esté disponible significa que otros investigadores pueden completar esos vacíos mediante ingeniería inversa, lo que reduce la ventana de tiempo antes de que aparezcan variantes más refinadas de la explotación.
Nuestro análisis
FalconFlank expone una contradicción estructural en el diseño de productos de seguridad de endpoints: las funciones de remediación automatizada requieren privilegios elevados para ser efectivas, pero esos mismos privilegios se convierten en superficie de ataque si la lógica de remediación tiene fallas. Este no es un problema exclusivo de CrowdStrike — productos de Symantec, Trend Micro y Microsoft Defender han enfrentado vulnerabilidades similares en los últimos años, donde mecanismos de limpieza o cuarentena fueron explotados para escalar privilegios. La diferencia en este caso es la velocidad de divulgación: el investigador optó por publicar el PoC sin dar tiempo al fabricante para desarrollar un parche, lo que convierte una vulnerabilidad técnicamente explotable en una amenaza operativa inmediata para miles de organizaciones.
El patrón de divulgación sin coordinación que Chaotic Eclipse eligió para FalconFlank refleja una tendencia más amplia en la comunidad de investigadores independientes, que perciben el modelo de divulgación responsable como desequilibrado a favor de los fabricantes. Casos recientes donde empresas demoraron parches durante meses después de recibir reportes privados alimentan esa percepción. Sin embargo, la publicación inmediata de un PoC funcional no resuelve ese desequilibrio — simplemente transfiere el riesgo a los usuarios finales, que quedan expuestos sin herramientas de defensa mientras el fabricante desarrolla una solución bajo presión pública.
¿Qué pasaría si otros investigadores adoptaran este modelo de divulgación para vulnerabilidades en infraestructura crítica de seguridad, donde no existen alternativas de mitigación rápidas y el impacto de la explotación masiva podría medirse en semanas en lugar de días?