啟用「Microsoft Office 檔案惡意巨集移除」修復功能 （第 3 階段最佳防護原則或更高版本），遠端 Windows 主機上安裝的 CrowdStrike Falcon 感應器會受到本機權限提升弱點的影響。

經過驗證的本機攻擊者可以透過以下方式利用此漏洞：

  - 將 OLE 複合文件 （巨集誘餌檔） 寫入 %TEMP% 下的暫存目錄，以觸發 Falcon 的系統級巨集修復。

  - 使用 oplock 來計時 TOCTOU 爭用視窗、刪除暫存 v1.0 子目錄，以及植入 NTFS 掛載點 （IO_REPARSE_TAG_MOUNT_POINT），將任何擱置中的檔案作業重新導向至 C：\\Windows\\System32\\WindowsPowerShell\\v1.0\\。

  - 透過交易 NTFS （TXFS / CreateFileTransacted） 傳遞任意 DLL 承載，這會提交 C：\\Windows\System32\\WindowsPowerShell\\v1.0\\bcrypt.dll 的不可部分完成覆寫，同時繞過 Falcon 的微型篩選器寫入攔截。

  - 透過 \\Microsoft\\Windows\Application Experience 下的 MareBackup 排程任務觸發系統層級 DLL 執行，這會載入取代的bcrypt.dll。

結果是從標準使用者帳戶執行完整的系統層級程式碼。

請注意，Nessus 尚未針對此問題進行測試，而是依賴於對存在易受攻擊的軟體的偵測。
無法從遠端確認「Microsoft Office 檔案惡意巨集移除」功能的原則狀態;應根據 Falcon 策略主控台驗證調查結果。

偵測

CrowdStrike Falcon 傳感器本地權限提升（CVE-2026-40058 / FalconFlank）

high Nessus Plugin ID 350271

版本 1.1

偵測

CrowdStrike Falcon 傳感器本地權限提升 （CVE-2026-40058 / FalconFlank）

high Nessus Plugin ID 350271

版本 1.1

CrowdStrike Falcon 傳感器本地權限提升（CVE-2026-40058 / FalconFlank）