启用“Microsoft Office 文件恶意宏删除”修复功能时（第 3 阶段：最佳保护策略或更高版本），远程 Windows 主机上安装的 CrowdStrike Falcon 传感器受到本地权限提升漏洞的影响。 

经过身份验证的本地攻击者可以通过以下方式利用此漏洞：

  - 将 OLE 复合文档（宏诱饵文件）写入 %TEMP% 下的暂存目录以触发 Falcon 的系统级宏修复。

  - 使用 oplock 为 TOCTOU 争用窗口计时，删除暂存 v1.0 子目录，并植入将所有待定文件操作重定向到 C：\\Windows\\System32\\WindowsPowerShell\\v1.0\\的 NTFS 挂载点 （IO_REPARSE_TAG_MOUNT_POINT）。

  - 通过 Transacted NTFS （TXFS / CreateFileTransacted） 交付任意 DLL 负载，这会对 C：\\Windows\\System32\\WindowsPowerShell\\v1.0\\bcrypt.dll 提交原子性覆盖，同时绕过 Falcon 的微过滤器写入拦截。

  - 通过 \\Microsoft\Windows\\Application Experience 下的 MareBackup 计划任务触发系统级 DLL 执行，该任务加载替换的bcrypt.dll。

结果是从标准用户帐户执行完整的 SYSTEM 级别代码。

请注意，Nessus 没有测试此问题，而仅依赖于对存在易受攻击的软件的检测。
无法远程确认“Microsoft Office 文件恶意宏删除”功能的策略状态；应根据 Falcon 策略控制台验证发现结果。

检测

CrowdStrike Falcon 传感器本地权限升级（CVE-2026-40058 / FalconFlank）

high Nessus 插件 ID 350271

版本 1.5

检测

CrowdStrike Falcon 传感器本地权限升级 （CVE-2026-40058 / FalconFlank）

high Nessus 插件 ID 350271

版本 1.5

CrowdStrike Falcon 传感器本地权限升级（CVE-2026-40058 / FalconFlank）