ما يجعل GreatXML خطيرة بشكل خاص هو سهولة استغلالها. فقد وصفها الباحث بأنها "اكتشاف عرضي" استغرق أربع ساعات فقط من البحث . أي مؤسسة قامت بتشغيل الفحص دون اتصال من Microsoft Defender على أجهزة محمية بـ BitLocker أصبح لديها الآن ثغرة صامتة موجودة مسبقًا تنتظر من يستغلها.

كيف تخترق ثغرة GreatXML القرص المشفر

تعمل GreatXML من خلال استغلال علاقة الثقة العميقة داخل بنية الاسترداد في ويندوز. صُمم BitLocker لحماية البيانات، لكنه يفتح التشفير تلقائيًا عندما يدخل النظام إلى بيئة استرداد موثوقة مثل WinRE—وهي نفس البيئة التي يستخدمها الفحص دون اتصال من Microsoft Defender.

إليك سلسلة الهجوم خطوة بخطوة:

1. الشرط الخفي: يجب أن يكون الفحص دون اتصال من Microsoft Defender قد تم تشغيله مرة واحدة على الأقل على الجهاز المستهدف. هذا الإجراء يترك آثارًا شرعية في قسم الاسترداد، بما في ذلك ملف تهيئة بتنسيق XML ومجلد Recovery . هذه الآثار هي نقطة الدخول للثغرة.
2. زرع الملفات الضارة: مع وصول مادي سريع للجهاز، ينسخ المهاجم ملف XML مُعد خصيصًا ومجلد Recovery معدل مباشرة إلى قسم الاسترداد .
3. trigger إعادة التشغيل: إعادة تشغيل الجهاز إلى وضع الاسترداد (WinRE). نظرًا لأن بيئة الاسترداد وملفات التهيئة الخاصة بها تعتبر مصدرًا موثوقًا من سير عمل الفحص دون اتصال، فإن BitLocker يحرر مفتاح تشفير القرص دون طلب كلمة مرور أو PIN أو مفتاح استرداد .
4. الحصول على صلاحيات SYSTEM: تتم معالجة ملف XML المُعد تلقائيًا عند بدء التشغيل، مما يؤدي إلى تشغيل موجه أوامر بصلاحيات NT AUTHORITY\SYSTEM. من هذه الواجهة، يمكن للمهاجم قراءة أو نسخ أو تعديل أي ملف على القرص المشفر .

وكما تصف Hive Security، فإن الملف "فعل بالضبط ما صُمم لفعله—ولكن في الأيدي الخطأ، وفي الوقت الخطأ، داخل البيئة الوحيدة التي يثق بها BitLocker لتسليم المفاتيح" .

الصورة الأكبر: حملة Nightmare Eclipse المتصاعدة

GreatXML ليست ثغرة معزولة. إنها الثغرة السابعة من نوع يوم الصفر التي ينشرها Nightmare Eclipse منذ أبريل 2026، وهو باحث أمني في خلاف علني مع مايكروسوفت منذ أشهر حول طريقة تعاملها مع الثغرات . أطلق الباحث كل ثغرة مع كود إثبات المفهوم (PoC)، وهي ممارسة أدانتها مايكروسوفت واعتبرتها تعريضًا "غير ضروري للعملاء للخطر" .

إليك الجدول الزمني الكامل لثغرات Nightmare Eclipse في 2026 وحالتها الحالية مع منتصف يونيو:

BlueHammer كانت ثغرة رفع صلاحيات محلية في Windows Defender بدرجة CVSS 7.8 . RedSun وUnDefend استهدفتا آليات استرجاع الملفات السحابية وتحديث التوقيعات في Defender على التوالي . YellowKey كانت ثغرة تجاوز سابقة لـ BitLocker، وGreenPlasma كانت ثغرة رفع صلاحيات تستهدف عملية CTFMON وتمنح صلاحيات SYSTEM .

في الآونة الأخيرة، RoguePlanet، التي نُشرت قبل GreatXML بيوم واحد، تستغل ثغرة سباق (TOCTOU) في Microsoft Defender للحصول على صلاحيات SYSTEM على أنظمة محدثة بالكامل .

تحديثات يونيو 2026: من حصل على التصحيح

أصلحت تحديثات Patch Tuesday ليوم 9 يونيو 2026 أكثر من 200 ثغرة، بما في ذلك ست ثغرات من نوع يوم الصفر . من بين ثغرات Nightmare Eclipse، تمت معالجة اثنتين:

• GreenPlasma (CVE-2026-45586) تم تصحيحها .
• YellowKey (CVE-2026-50507) تم تصحيحها .

لكن كلاً من RoguePlanet وGreatXML بقيتا خارج التحديث. وحتى آخر التقارير، لا يوجد تصحيح رسمي لأي منهما ولا تعيين CVE .

من هو المعرض لهذا الهجوم

الملف الشخصي للنظام المعرض للخطر شائع بشكل مدهش. تؤثر الثغرة على أي جهاز ويندوز يستخدم BitLocker في وضع TPM-only حيث تم تشغيل الفحص دون اتصال من Microsoft Defender مرة واحدة على الأقل .

في وضع TPM-only، تقوم الوحدة النمطية الموثوقة (TPM) بتسليم مفتاح التشفير تلقائيًا أثناء التمهيد، ولهذا يعمل الهجوم بسلاسة بمجرد إجبار الجهاز على الدخول إلى بيئة WinRE الموثوقة. لا يحتاج المهاجم إلى معرفة كلمة مرور أو امتلاك مفتاح استرداد—فقط وصول مادي إلى الكمبيوتر المحمول أو محطة العمل ووقت كافٍ لإعادة تشغيل واحدة .

هذا يجعل أجهزة الكمبيوتر المحمولة ومحطات العمل المحمولة والأجهزة الأخرى القابلة للنقل الأهداف الرئيسية لسرقة المؤسسات أو هجمات نمط "الخادم الشرير" (evil maid). الخوادم أيضًا معرضة للخطر، لكن شرط الوصول المادي يجعلها أهدافًا أقل احتمالًا في معظم نماذج التهديد.

إجراءات التخفيف لحين إصدار التصحيح الرسمي

لا يوجد تصحيح رسمي لثغرة GreatXML. يجب على المؤسسات تنفيذ ضوابط تعويضية فورية بدلاً من انتظار مايكروسوفت .

1. التحول من TPM-only إلى TPM+PIN. هذا هو الإجراء الأكثر فعالية. تكوين BitLocker ليتطلب TPM مع PIN (أو TPM مع مفتاح تشغيل USB) يعني أنه حتى إذا أعاد المهاجم تشغيل الجهاز إلى WinRE، فلن يتم فك تشفير القرص بدون PIN .
2. تطبيق ضوابط السماح (Allowlisting). يمكن تكوين حلول مثل ThreatLocker لمنع تنفيذ الملفات الثنائية والبرامج النصية وملفات التهيئة XML غير المصرح بها في بيئة الاسترداد، مما يكسر سلسلة تنفيذ الهجوم .
3. تشديد الأمن المادي للأجهزة عالية الخطورة. تعامل مع أي جهاز خضع للفحص دون اتصال من Defender على أنه يعاني من ثغرة قائمة. عزز ضوابط الوصول المادي وراقب أي معالجة غير مصرح بها حتى يتوفر التصحيح .
4. تدقيق بيئتك. حدد الأجهزة التي تم فيها تشغيل الفحص دون اتصال. بدون هذا الشرط الأساسي، لا يمكن تنفيذ الهجوم، لذا فإن تحديد هذه الأجهزة يساعد في تحديد أولويات التخفيف الفوري.

يعامل مجتمع الأمن ثغرة GreatXML على أنها ثغرة قابلة للاستغلال تقنيًا ومتاحة للعامة مع تحقق خارجي غير كامل . بالنسبة لفرق الدفاع، يعني هذا أن الافتراض الأكثر أمانًا هو أن كل نظام مؤهل قابل للاستغلال حتى يثبت العكس.

ما يجعل GreatXML خطيرة بشكل خاص هو سهولة استغلالها. فقد وصفها الباحث بأنها "اكتشاف عرضي" استغرق أربع ساعات فقط من البحث . أي مؤسسة قامت بتشغيل الفحص دون اتصال من Microsoft Defender على أجهزة محمية بـ BitLocker أصبح لديها الآن ثغرة صامتة موجودة مسبقًا تنتظر من يستغلها.

كيف تخترق ثغرة GreatXML القرص المشفر

تعمل GreatXML من خلال استغلال علاقة الثقة العميقة داخل بنية الاسترداد في ويندوز. صُمم BitLocker لحماية البيانات، لكنه يفتح التشفير تلقائيًا عندما يدخل النظام إلى بيئة استرداد موثوقة مثل WinRE—وهي نفس البيئة التي يستخدمها الفحص دون اتصال من Microsoft Defender.

إليك سلسلة الهجوم خطوة بخطوة:

1. الشرط الخفي: يجب أن يكون الفحص دون اتصال من Microsoft Defender قد تم تشغيله مرة واحدة على الأقل على الجهاز المستهدف. هذا الإجراء يترك آثارًا شرعية في قسم الاسترداد، بما في ذلك ملف تهيئة بتنسيق XML ومجلد Recovery . هذه الآثار هي نقطة الدخول للثغرة.
2. زرع الملفات الضارة: مع وصول مادي سريع للجهاز، ينسخ المهاجم ملف XML مُعد خصيصًا ومجلد Recovery معدل مباشرة إلى قسم الاسترداد .
3. trigger إعادة التشغيل: إعادة تشغيل الجهاز إلى وضع الاسترداد (WinRE). نظرًا لأن بيئة الاسترداد وملفات التهيئة الخاصة بها تعتبر مصدرًا موثوقًا من سير عمل الفحص دون اتصال، فإن BitLocker يحرر مفتاح تشفير القرص دون طلب كلمة مرور أو PIN أو مفتاح استرداد .
4. الحصول على صلاحيات SYSTEM: تتم معالجة ملف XML المُعد تلقائيًا عند بدء التشغيل، مما يؤدي إلى تشغيل موجه أوامر بصلاحيات NT AUTHORITY\SYSTEM. من هذه الواجهة، يمكن للمهاجم قراءة أو نسخ أو تعديل أي ملف على القرص المشفر .

وكما تصف Hive Security، فإن الملف "فعل بالضبط ما صُمم لفعله—ولكن في الأيدي الخطأ، وفي الوقت الخطأ، داخل البيئة الوحيدة التي يثق بها BitLocker لتسليم المفاتيح" .

الصورة الأكبر: حملة Nightmare Eclipse المتصاعدة

GreatXML ليست ثغرة معزولة. إنها الثغرة السابعة من نوع يوم الصفر التي ينشرها Nightmare Eclipse منذ أبريل 2026، وهو باحث أمني في خلاف علني مع مايكروسوفت منذ أشهر حول طريقة تعاملها مع الثغرات . أطلق الباحث كل ثغرة مع كود إثبات المفهوم (PoC)، وهي ممارسة أدانتها مايكروسوفت واعتبرتها تعريضًا "غير ضروري للعملاء للخطر" .

إليك الجدول الزمني الكامل لثغرات Nightmare Eclipse في 2026 وحالتها الحالية مع منتصف يونيو:

BlueHammer كانت ثغرة رفع صلاحيات محلية في Windows Defender بدرجة CVSS 7.8 . RedSun وUnDefend استهدفتا آليات استرجاع الملفات السحابية وتحديث التوقيعات في Defender على التوالي . YellowKey كانت ثغرة تجاوز سابقة لـ BitLocker، وGreenPlasma كانت ثغرة رفع صلاحيات تستهدف عملية CTFMON وتمنح صلاحيات SYSTEM .

في الآونة الأخيرة، RoguePlanet، التي نُشرت قبل GreatXML بيوم واحد، تستغل ثغرة سباق (TOCTOU) في Microsoft Defender للحصول على صلاحيات SYSTEM على أنظمة محدثة بالكامل .

تحديثات يونيو 2026: من حصل على التصحيح

أصلحت تحديثات Patch Tuesday ليوم 9 يونيو 2026 أكثر من 200 ثغرة، بما في ذلك ست ثغرات من نوع يوم الصفر . من بين ثغرات Nightmare Eclipse، تمت معالجة اثنتين:

• GreenPlasma (CVE-2026-45586) تم تصحيحها .
• YellowKey (CVE-2026-50507) تم تصحيحها .

لكن كلاً من RoguePlanet وGreatXML بقيتا خارج التحديث. وحتى آخر التقارير، لا يوجد تصحيح رسمي لأي منهما ولا تعيين CVE .

من هو المعرض لهذا الهجوم

الملف الشخصي للنظام المعرض للخطر شائع بشكل مدهش. تؤثر الثغرة على أي جهاز ويندوز يستخدم BitLocker في وضع TPM-only حيث تم تشغيل الفحص دون اتصال من Microsoft Defender مرة واحدة على الأقل .

في وضع TPM-only، تقوم الوحدة النمطية الموثوقة (TPM) بتسليم مفتاح التشفير تلقائيًا أثناء التمهيد، ولهذا يعمل الهجوم بسلاسة بمجرد إجبار الجهاز على الدخول إلى بيئة WinRE الموثوقة. لا يحتاج المهاجم إلى معرفة كلمة مرور أو امتلاك مفتاح استرداد—فقط وصول مادي إلى الكمبيوتر المحمول أو محطة العمل ووقت كافٍ لإعادة تشغيل واحدة .

هذا يجعل أجهزة الكمبيوتر المحمولة ومحطات العمل المحمولة والأجهزة الأخرى القابلة للنقل الأهداف الرئيسية لسرقة المؤسسات أو هجمات نمط "الخادم الشرير" (evil maid). الخوادم أيضًا معرضة للخطر، لكن شرط الوصول المادي يجعلها أهدافًا أقل احتمالًا في معظم نماذج التهديد.

إجراءات التخفيف لحين إصدار التصحيح الرسمي

لا يوجد تصحيح رسمي لثغرة GreatXML. يجب على المؤسسات تنفيذ ضوابط تعويضية فورية بدلاً من انتظار مايكروسوفت .

1. التحول من TPM-only إلى TPM+PIN. هذا هو الإجراء الأكثر فعالية. تكوين BitLocker ليتطلب TPM مع PIN (أو TPM مع مفتاح تشغيل USB) يعني أنه حتى إذا أعاد المهاجم تشغيل الجهاز إلى WinRE، فلن يتم فك تشفير القرص بدون PIN .
2. تطبيق ضوابط السماح (Allowlisting). يمكن تكوين حلول مثل ThreatLocker لمنع تنفيذ الملفات الثنائية والبرامج النصية وملفات التهيئة XML غير المصرح بها في بيئة الاسترداد، مما يكسر سلسلة تنفيذ الهجوم .
3. تشديد الأمن المادي للأجهزة عالية الخطورة. تعامل مع أي جهاز خضع للفحص دون اتصال من Defender على أنه يعاني من ثغرة قائمة. عزز ضوابط الوصول المادي وراقب أي معالجة غير مصرح بها حتى يتوفر التصحيح .
4. تدقيق بيئتك. حدد الأجهزة التي تم فيها تشغيل الفحص دون اتصال. بدون هذا الشرط الأساسي، لا يمكن تنفيذ الهجوم، لذا فإن تحديد هذه الأجهزة يساعد في تحديد أولويات التخفيف الفوري.

يعامل مجتمع الأمن ثغرة GreatXML على أنها ثغرة قابلة للاستغلال تقنيًا ومتاحة للعامة مع تحقق خارجي غير كامل . بالنسبة لفرق الدفاع، يعني هذا أن الافتراض الأكثر أمانًا هو أن كل نظام مؤهل قابل للاستغلال حتى يثبت العكس.