Chaotic Eclipse, 크라우드스트라이크 ‘FalconFlank’ 특권 상승 제로데이 공개

크라우드스트라이크·MS·카스퍼스키 엔드포인트 특권 상승 취약점 동시 노출로 보안 제품 신뢰성에 구조적 의문이 제기된다.

• 보안 연구자 Chaotic Eclipse가 크라우드스트라이크 ‘FalconFlank’ 제로데이 특권 상승 익스플로잇을 공개해 Windows 11과 Windows Server 2025의 Falcon 센서가 악성 매크로 복구 기능 악용에 노출됐다.
• 동일 연구자는 마이크로소프트 디펜더 제로데이 ‘ShieldBreak’를 CVE-2026-69414로 공개했으며 Cloud Files와 Object Manager 네임스페이스 조작, 복구 과정 타이밍 경쟁을 결합해 SYSTEM 권한 임의 코드 실행을 구현했다.
• 연구자는 엔드포인트 보안사 카스퍼스키 제품의 ‘HardBreacher’ 결함도 시연해 특권 UI 프로세스를 장악하는 로컬 특권 상승 시나리오를 제시하며 주요 3사 엔드포인트 솔루션 전반의 설계 취약성을 문제로 지적했다.
• 발표 내용에 따르면 ShieldBreak는 CVE-2026-69414로 추적되며 Windows 11과 Windows Server 2025 환경에서 SYSTEM 권한 임의 코드 실행을 허용하고 C:\Windows\System32 같은 보호 디렉터리의 DLL 생성 감시가 핵심 대응 포인트로 제시된다.
• FalconFlank 악용 가능성은 Falcon 센서 예외 설정과 DLL 난독화 로딩 탐지 로직의 공백에서 비롯되며, 엔드포인트 보안 제품 자체 프로세스에서 발생하는 특권 상승 시도는 기존 경보 체계 밖에 놓이기 쉬워 보안 운영 모델·규제 기준 재설계 필요성을 드러낸다.
• 엔드포인트 보안사 3곳의 제로데이 노출은 글로벌 공급망 리스크로 이어져 국내 기관도 매크로 활동 로그, Windows 오류 보고 작업, 보호 폴더 내 비정상 DLL 쓰기를 선제 점검하고 엔드포인트 제품 설계·검증 기준을 강화하는 정책 논의가 요구된다.

엔드포인트 보안 제품이 특권 상승 통로가 되는 사례가 반복되고 있다. 국내 정책 담당자는 주요 제품의 설계 리스크를 규제·조달 기준에 반영하고, 매크로·DLL·시스템 폴더 감시를 최소 요건으로 명시하는 방향을 검토할 필요가 있다.

주요 용어: 제로데이(패치가 없는 상태에서 공개된 취약점), 특권 상승(일반 사용자가 관리자 등 상위 권한을 탈취하는 현상), 엔드포인트 보안(PC·서버 단에서 악성 행위를 탐지·차단하는 보안 체계)

출처: SOC Prime