ИБ-исследователь, известный под псевдонимом Nightmare Eclipse (он же Chaotic Eclipse), который в последние месяцы регулярно публиковал 0-day для Windows, переключился на других вендоров. Специалист опубликовал эксплоит для 0-day-уязвимости FalconFlank, которая затрагивает платформу для защиты конечных точек CrowdStrike Falcon и позволяет повысить привилегии.

Напомним, что с весны 2026 года Nightmare Eclipse регулярно публикует эксплоиты для различных 0-day-уязвимостей, преимущественно затрагивающих Windows и Microsoft Defender. Сейчас на его счету уже девять таких 0-day.

Дело в том, что исследователь обвиняет специалистов Microsoft Security Response Center в игнорировании отчетов об уязвимостях, блокировке его аккаунтов, удалении репозиториев с эксплоитами, издевательствах и угрозах. То есть раскрытие уязвимостей до выхода патчей является для Nightmare Eclipse формой протеста и мести.

В свою очередь представители Microsoft критикуют публикацию эксплоитов и раскрытие информации об уязвимостях до выхода исправлений. Об этом затяжном конфликте мы рассказывали в отдельной статье.

Однако на этот раз Nightmare Eclipse утверждает, что обнаружил проблему не в продукции Microsoft, а в CrowdStrike Falcon. По его словам, баг связан с функцией удаления подозрительных макросов из документов Microsoft Office: Falcon автоматически проверяет такие файлы и при обнаружении потенциально опасных макросов удаляет их до открытия документа пользователем. Уязвимость FalconFlank позволяет злоупотребить этим механизмом для повышения привилегий.

По информации специалиста, его PoC-эксплоит работает в полностью обновленных Windows 11 25H2 и Windows Server 2025, если в CrowdStrike Falcon используется конфигурация Phase 3 — Optimal Protection и включено удаление вредоносных макросов.

Однако в настоящее время разработчики CrowdStrike, скорее всего, уже научили Falcon обнаруживать этот эксплоит. Поэтому Nightmare Eclipse полагает, что для тестирования может понадобиться добавить его в исключения, обфусцировать код и изменить способ загрузки DLL.

Представители CrowdStrike сообщили изданию The Register, что уже изучают информацию об уязвимости, и пока клиентам рекомендуют отключить политику Microsoft Office File Suspicious Macro Removal в Windows. При этом защита документов Office продолжит работать через настройку Cloud Anti-malware for Microsoft Office Files.

Работоспособность эксплоита FalconFlank уже подтвердил известный ИБ-эксперт Кевин Бомонт (Kevin Beaumont). Также он проверил несколько других эксплоитов, которые Nightmare Eclipse обнародовал за последнюю неделю.

По мнению Бомонта, переход исследователя от Microsoft к другим производителям вполне закономерен, поскольку проблемы с безопасностью есть во всем сегменте endpoint-защиты.

Следует отметить, что FalconFlank — не первый эксплоит Nightmare Eclipse за последние дни, не связанный с Microsoft. Так, в конце августа 2026 года исследователь опубликовал информацию о проблеме HardBreacher — 0-day для повышения привилегий в Kaspersky Endpoint Security. Тогда представители «Лаборатории Касперского» сообщали, что проблема уже устранена, и исправление распространяется через автоматические обновления.

Другая свежая уязвимость, найденная Nightmare Eclipse, PrettyPrague, затрагивает антивирус Avast, принадлежащий компании Gen Digital. Этот баг позволяет злоупотребить Avast Sandbox, извлечь базу SAM и получить шелл с правами SYSTEM. Представители Gen Digital уже подтвердили наличие проблемы в некоторых продуктах и сообщили, что работают над исправлениями.

Также Nightmare Eclipse раскрыл информацию о 0-day-уязвимости под названием GreenSection, которая связана с повреждением памяти в ПО Nvidia. Однако, по словам Бомонта, этот баг позволяет лишь вызвать сбой в работе системы, но не приводит к другим, более опасным последствиям.