{"id":11701,"date":"2026-09-03T11:02:28","date_gmt":"2026-09-03T17:02:28","guid":{"rendered":"https:\/\/beaconlab.us\/?post_type=publicacion&p=11701"},"modified":"2026-09-03T14:01:15","modified_gmt":"2026-09-03T20:01:15","slug":"vulnerabilidad-0-day-de-escalacion-de-privilegios-mediante-abuso-de-macros-de-ms-office-en-crowdstrike-falcon","status":"publish","type":"publicacion","link":"https:\/\/beaconlab.us\/es\/publicacion\/vulnerabilidad-0-day-de-escalacion-de-privilegios-mediante-abuso-de-macros-de-ms-office-en-crowdstrike-falcon\/","title":{"rendered":"Alerta 2026-95 0-Day de Escalaci\u00f3n de Privilegios mediante Abuso de Remediaci\u00f3n de Macros de MS Office en Crowdstrike Falcon"},"content":{"rendered":"\n

Producto(s) afectado(s): <\/h2>\n\n\n\n

CrowdStrike Falcon Sensor \u2014 Plataforma de seguridad endpoint (EDR)<\/strong><\/p>\n\n\n\n

Producto<\/strong><\/td>Configuraci\u00f3n vulnerable<\/strong><\/td>Sistema operativo<\/strong><\/td><\/tr>
CrowdStrike Falcon Sensor<\/strong><\/td>Phase 3 \u2014 Optimal Protection con \u00abMicrosoft Office file malicious macro removal\u00bb habilitado<\/td>Windows 11 25H2 (totalmente actualizado)<\/td><\/tr>
CrowdStrike Falcon Sensor<\/strong><\/td>Phase 3 \u2014 Optimal Protection con \u00abMicrosoft Office file malicious macro removal\u00bb habilitado<\/td>Windows Server 2025 (totalmente actualizado)<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Descripci\u00f3n<\/h2>\n\n\n\n

Se ha reportado una posible vulnerabilidad 0-day de escalaci\u00f3n local de privilegios (LPE)<\/strong> que afecta al CrowdStrike Falcon Sensor<\/strong> y se public\u00f3 el c\u00f3digo fuente y binario compilado del exploit, que ha sido bautizado como FalconFlank<\/strong>,. <\/strong>A\u00fan no hay un comunicado oficial por parte de Crowstrike.<\/p>\n\n\n\n

La falla abusa del mecanismo de remediaci\u00f3n de macros maliciosas en archivos Microsoft Office<\/strong> \u2014 una funcionalidad que opera con privilegios elevados dentro del sensor \u2014 para elevar los privilegios de un usuario local sin privilegios hasta el nivel SYSTEM<\/strong> en sistemas Windows completamente actualizados.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Figura 1 Flujo de explotaci\u00f3n de FalconFlank<\/p>\n\n\n\n

El investigador afirm\u00f3 que la prueba de concepto funcion\u00f3 en entornos Windows 11 25H2 y Windows Server 2025<\/a> completamente actualizados y protegidos por CrowdStrike Falcon con la protecci\u00f3n \u00f3ptima de fase 3 habilitada.<\/p>\n\n\n\n

El repositorio p\u00fablico se cre\u00f3 recientemente e incluye c\u00f3digo fuente en C, una soluci\u00f3n de Visual Studio, archivos de proyecto, archivos de cabecera y un directorio de lanzamiento compilado para x64.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Figura \u00a02 – Evidencia del PoC publicada por el investigador.<\/p>\n\n\n\n

CrowdStrike ya ha emitido un comunicado informando que est\u00e1 investigando el asunto y que recomienda deshabilitar la funcionalidad temporalmente. Al hacerlo, las macros maliciosas ya no ser\u00e1n reemplazadas autom\u00e1ticamente, pero la protecci\u00f3n continuar\u00e1 funcionando normalmente mediante Cloud Anti-malware for Microsoft Office Files, siempre que las pol\u00edticas est\u00e9n configuradas seg\u00fan las mejores pr\u00e1cticas.<\/p>\n\n\n\n

Adem\u00e1s, el exploit ya es detectado por Crowdstrike, sin embargo, es posible que un atacante sea capaz de evadir esa detecci\u00f3n, por lo que es fundamental realizar la mitigaci\u00f3n hasta tanto se cuente con un parche para la vulnerabilidad.<\/p>\n\n\n\n

 <\/h2>\n\n\n\n

Mitigaci\u00f3n<\/h2>\n\n\n\n

Mientras CrowdStrike emite un parche oficial:<\/p>\n\n\n\n