Kurzfassung

CrowdStrike hat ein Sicherheitsupdate für den Falcon Sensor unter Windows und für das Laroux Malware Cleanup Tool bereitgestellt. Die Schwachstelle CVE-2026-40058 ist mit CVSS 8.8, hoch bewertet und kann unter bestimmten Voraussetzungen zu einer lokalen Rechteausweitung führen. Betroffen ist die Lücke nur, wenn die Windows-Richtlinie zur Entfernung schädlicher Office-Makros aktiviert ist.

Was ist passiert?

Die Schwachstelle steckt im Falcon Sensor für Windows. Nach Angaben von CrowdStrike kann sie dazu führen, dass aus einem nicht privilegierten Kontext beliebige Dateien in geschützte Verzeichnisse geschrieben werden. Das kann in einem nächsten Schritt eine lokale Rechteausweitung ermöglichen.

Ein Sicherheitsupdate steht sofort bereit. Genannt werden Versionen 7.34 und neuer, 7.32 LTS sowie 7.16 für Windows-7- und Windows-Server-2008-R2-Systeme. Ebenfalls betroffen ist das CrowdStrike Laroux Malware Cleanup Tool, das auf derselben Funktion basiert und ebenfalls aktualisiert wurde.

Nicht betroffen sind der Falcon Sensor für macOS, Linux und Legacy Systems. Für viele Umgebungen ist außerdem wichtig: Die Schwachstelle existiert nur, wenn die Windows-Richtlinie Microsoft Office File Malicious Macro Removal aktiviert ist. Gleichzeitig verweist CrowdStrike darauf, dass Kunden durch die Einstellung Cloud Anti-malware for Microsoft Office Files geschützt bleiben.

Technische Details

CVE-2026-40058 hat einen CVSS-Basiswert von 8.8 und den Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Das bedeutet: Angreifen kann ein lokaler Benutzer mit geringen Berechtigungen; die Ausnutzung ist wenig komplex, erfordert keine Nutzerinteraktion und kann Vertraulichkeit, Integrität und Verfügbarkeit stark beeinträchtigen.

Wichtig für die Einordnung: Der CVSS-Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch die Wahrscheinlichkeit einer tatsächlichen Ausnutzung in Ihrer Umgebung. Hier begrenzen die Voraussetzungen die Angriffsfläche deutlich, weil die Lücke nur in einer speziellen Windows-Konfiguration relevant wird.

Technisch geht es um eine beliebige Dateischreiboperation in geschützte Pfade. Solche Fehler sind in EDR- oder Security-Agenten besonders heikel, weil diese Komponenten mit erhöhten Rechten arbeiten und tief ins System eingreifen. Gelingt es einem lokalen Angreifer, diesen Mechanismus auszunutzen, kann er seine Rechte auf dem betroffenen System ausweiten.

Wer ist betroffen?

Betroffen sind Windows-Systeme mit CrowdStrike Falcon Sensor, wenn die Richtlinie zur Entfernung schädlicher Office-Makros aktiviert ist. Als aktualisierte Stände nennt CrowdStrike die Zweige 7.34 und höher, 7.32 LTS sowie 7.16 für Windows 7 und Windows Server 2008 R2. Ob ältere, nicht genannte Versionslinien noch unterstützt oder separat abgesichert werden, ist nicht mitgeteilt.

Zusätzlich betroffen ist das CrowdStrike Laroux Malware Cleanup Tool. Nicht betroffen sind Falcon Sensoren für macOS, Linux und Legacy Systems.

Für Unternehmen im DACH-Raum ist die Relevanz vor allem dort hoch, wo Falcon breit auf Windows-Clients und -Servern ausgerollt ist und Benutzer lokale Anmeldemöglichkeiten haben. In stark gehärteten Terminalserver-, VDI- oder Administrationsumgebungen sollte die Schwachstelle priorisiert geprüft werden, weil dort lokale Rechteausweitung oft der entscheidende Schritt zur vollständigen Systemübernahme ist.

Empfohlene Maßnahmen

Prüfen Sie zuerst, ob in Ihrer Windows-Umgebung die Richtlinie Microsoft Office File Malicious Macro Removal aktiviert ist. Ist das nicht der Fall, sinkt die unmittelbare Relevanz deutlich. Ist die Richtlinie aktiv, sollten Sie betroffene Systeme priorisiert identifizieren.

Spielen Sie die von CrowdStrike bereitgestellten Updates für den Falcon Sensor auf Windows sowie für das Laroux Malware Cleanup Tool zeitnah ein. Priorität haben gemeinsam genutzte Systeme, Administrator-Arbeitsplätze, Jump-Hosts, Terminalserver und Systeme mit lokaler Benutzeranmeldung.

Kontrollieren Sie in Ihrem Bestandsmanagement, welche Sensor-Versionen tatsächlich installiert sind. Gleichen Sie diese gegen die von CrowdStrike genannten aktualisierten Zweige 7.34 und höher, 7.32 LTS sowie 7.16 für Windows-7-/2008-R2-Systeme ab.

Überprüfen Sie ergänzend, ob die Schutzfunktion Cloud Anti-malware for Microsoft Office Files aktiv ist. Diese Einstellung ersetzt das Update nicht, kann aber laut CrowdStrike einen zusätzlichen Schutz bieten.

Wo ein sofortiges Update betrieblich nicht möglich ist, sollten Sie lokale Anmeldemöglichkeiten und Standardbenutzerrechte auf betroffenen Systemen besonders eng begrenzen. Beobachten Sie außerdem Ereignisse, die auf unerwartete Schreibzugriffe in geschützte Pfade oder auf verdächtige Privileg-Erhöhungen hindeuten.

Einschätzung von CyberSecurity-News.de

Die technische Schwere ist hoch, die praktische Reichweite aber klar eingeschränkt. Es handelt sich nicht um eine aus der Ferne ausnutzbare Schwachstelle, sondern um eine lokale Rechteausweitung unter einer zusätzlichen Konfigurationsbedingung. Für die meisten Unternehmen ist das kein Krisenfall wie bei einer aktiv ausgenutzten Remote-Code-Execution-Lücke, aber sehr wohl ein sauber zu priorisierendes Update.

Positiv ist, dass CrowdStrike betroffene Plattformen und verfügbare Update-Zweige konkret benennt und auch das Laroux Malware Cleanup Tool ausdrücklich erwähnt. Weniger hilfreich ist, dass ohne zusätzliche Herstellerdetails offenbleibt, wie sich die Schwachstelle im Betrieb zuverlässig erkennen oder kompensieren lässt, falls ein sofortiges Update nicht möglich ist.

Wer Falcon auf Windows einsetzt, sollte die Lücke nicht liegen lassen. Gerade Security-Agenten auf Endpunkten sind sensible Komponenten: Wenn dort eine lokale Rechteausweitung möglich ist, wird aus einer zunächst begrenzten Benutzerposition schnell ein vollständiger Systemkompromiss.

Fazit

Wenn Sie CrowdStrike Falcon auf Windows betreiben, prüfen Sie umgehend die betroffenen Versionslinien und spielen Sie die verfügbaren Updates ein. Höchste Priorität haben Systeme mit lokaler Benutzeranmeldung und aktivierter Office-Makro-Entfernungsrichtlinie. Für macOS- und Linux-Installationen besteht nach aktuellem Stand kein Handlungsbedarf.

Quellenangabe

Weiterführende Informationen: NVD zu CVE-2026-40058