Útok nevyžaduje přihlášení, znalost hesla ani obnovovací klíč BitLockeru. Potřebuje však krátký fyzický přístup k počítači a restart zařízení. K 11. červnu 2026 nebyla pro GreatXML zveřejněna oficiální oprava a zranitelnost neměla přidělený identifikátor CVE .

Výzkumník popsal objev jako náhodný a uvedl, že k jeho nalezení potřeboval přibližně čtyři hodiny práce . Bezpečnostní komunita zároveň upozorňuje, že jde o veřejný a technicky uvěřitelný proof of concept, jehož fungování zatím nebylo nezávisle potvrzeno v úplném rozsahu .

Jak útok funguje

GreatXML zneužívá důvěru mezi BitLockerem a prostředím WinRE. To je speciální oddíl Windows určený k opravám a obnově systému. BitLocker musí v určitých situacích umožnit přístup k zašifrovanému svazku právě proto, aby bylo možné provést obnovu systému nebo offline kontrolu malwaru.

Útok má podle zveřejněných informací následující průběh:

1. Nezbytný předpoklad: Na zařízení musí být alespoň jednou spuštěna offline kontrola Microsoft Defenderu. Tento proces zanechá na oddílu pro obnovení legitimní soubory a složky, mimo jiné konfigurační soubor XML a adresář Recovery .
2. Úprava oddílu pro obnovení: Útočník s krátkým fyzickým přístupem ke stroji do něj nakopíruje speciálně připravený soubor XML, uváděný také jako unattend.xml, a upravenou složku Recovery .
3. Restart do WinRE: Po restartu se počítač spustí v režimu obnovení. Protože systém tyto soubory a prostředí spojuje s důvěryhodným postupem offline kontroly Defenderu, BitLocker může uvolnit klíč bez zadání hesla, PINu nebo obnovovacího klíče .
4. Získání oprávnění SYSTEM: Upravený XML soubor se při startu zpracuje automaticky a podle dostupného proof of concept vyvolá příkazový řádek s oprávněními NT AUTHORITY\\SYSTEM. Útočník pak může číst, kopírovat nebo měnit data na zašifrovaném disku .

Hive Security tento problém shrnuje tak, že soubor udělal přesně to, k čemu byl navržen — jen „ve špatných rukou, ve špatný čas a uvnitř jediného prostředí, kterému BitLocker důvěřuje natolik, že nechá klíče být“ .

GreatXML zapadá do širší série útoků

Nejde o izolovaný případ. Nightmare Eclipse od dubna 2026 postupně zveřejňuje zranitelnosti v různých součástech Windows a současně vede veřejný spor s Microsoftem o způsob, jakým firma bezpečnostní chyby řeší . Výzkumník k jednotlivým chybám zveřejnil také funkční nebo částečný proof of concept. Microsoft tento způsob zveřejňování kritizoval s tím, že zákazníky vystavuje „zbytečnému riziku“ .

Mezi zveřejněné chyby patří:

BlueHammer byla lokální chyba zvýšení oprávnění ve Windows Defenderu s hodnocením CVSS 7,8 . RedSun a UnDefend se týkaly mechanismů vracení cloudových souborů a aktualizace signatur Defenderu . YellowKey byl dřívější způsob obejití BitLockeru, zatímco GreenPlasma zneužívala proces CTFMON k získání oprávnění SYSTEM .

RoguePlanet, zveřejněný den před GreatXML, podle výzkumníka využívá závodní podmínku typu TOCTOU v Microsoft Defenderu. Ta může na plně aktualizovaných systémech vést k lokálnímu zvýšení oprávnění až na úroveň SYSTEM .

Co opravil červnový Patch Tuesday

Microsoft 9. června 2026 vydal pravidelnou bezpečnostní aktualizaci Patch Tuesday, která opravila více než 200 zranitelností včetně šesti zero-day chyb . Z problémů spojených s kampaní Nightmare Eclipse byly v aktualizaci podle dostupných zpráv opraveny dvě:

• GreenPlasma (CVE-2026-45586)
• YellowKey (CVE-2026-50507)

GreatXML ani RoguePlanet do této aktualizace zahrnuty nebyly. K datu posledních dostupných zpráv pro ně neexistoval oficiální patch a GreatXML neměl přidělené CVE .

Která zařízení jsou ohrožena

Riziko se týká zařízení s BitLockerem nastaveným v režimu TPM-only, pokud na nich byla alespoň jednou spuštěna offline kontrola Microsoft Defenderu .

TPM, tedy modul pro zabezpečené ukládání kryptografických klíčů, v tomto režimu během běžného startu automaticky zpřístupní klíč k disku. Právě tato automatizace podle popisu útoku pomáhá GreatXML po přesměrování počítače do důvěryhodného prostředí WinRE.

Největší praktické riziko proto představují notebooky, přenosné pracovní stanice a další zařízení, která může někdo ukrást nebo na krátkou dobu fyzicky získat pod kontrolu. Servery mohou být rovněž zasaženy, ale požadavek na fyzický přístup u nich obvykle snižuje pravděpodobnost útoku .

Co mohou organizace udělat před vydáním opravy

Protože pro GreatXML zatím není k dispozici oficiální oprava, měly by organizace použít náhradní ochranná opatření:

1. Přejít z TPM-only na TPM+PIN. BitLocker lze nastavit tak, aby kromě TPM vyžadoval také PIN, případně USB klíč pro spuštění. Ani po restartu do WinRE pak samotný TPM k odemknutí disku nestačí . Jde o nejúčinnější konfigurační opatření, které je podle dostupných doporučení nyní k dispozici.
2. Použít allowlisting aplikací. Nástroje typu ThreatLocker lze nastavit tak, aby blokovaly neautorizované binární soubory, skripty a XML konfigurační soubory ve fázi obnovy. Tím se může přerušit řetězec, který exploit potřebuje ke spuštění .
3. Zpřísnit fyzickou ochranu. Zařízení, na nichž někdy proběhla offline kontrola Defenderu, je vhodné do vydání opravy považovat za potenciálně ohrožená. Důležitý je zejména dohled nad notebooky a pracovními stanicemi mimo kontrolované prostory .
4. Provést audit prostředí. Zjistěte, na kterých počítačích byla offline kontrola spuštěna. Právě tato informace pomůže určit, která zařízení mají být zabezpečena přednostně.

GreatXML tedy neznamená, že každý zašifrovaný počítač lze automaticky odemknout na dálku. Útok vyžaduje specifickou historii zařízení i fyzický přístup. Pro organizace, které používají BitLocker v režimu TPM-only, je ale rozumné považovat všechna odpovídající zařízení za potenciálně zneužitelná, dokud Microsoft nevydá opravu nebo přesnější technické pokyny.

Útok nevyžaduje přihlášení, znalost hesla ani obnovovací klíč BitLockeru. Potřebuje však krátký fyzický přístup k počítači a restart zařízení. K 11. červnu 2026 nebyla pro GreatXML zveřejněna oficiální oprava a zranitelnost neměla přidělený identifikátor CVE .

Výzkumník popsal objev jako náhodný a uvedl, že k jeho nalezení potřeboval přibližně čtyři hodiny práce . Bezpečnostní komunita zároveň upozorňuje, že jde o veřejný a technicky uvěřitelný proof of concept, jehož fungování zatím nebylo nezávisle potvrzeno v úplném rozsahu .

Jak útok funguje

GreatXML zneužívá důvěru mezi BitLockerem a prostředím WinRE. To je speciální oddíl Windows určený k opravám a obnově systému. BitLocker musí v určitých situacích umožnit přístup k zašifrovanému svazku právě proto, aby bylo možné provést obnovu systému nebo offline kontrolu malwaru.

Útok má podle zveřejněných informací následující průběh:

1. Nezbytný předpoklad: Na zařízení musí být alespoň jednou spuštěna offline kontrola Microsoft Defenderu. Tento proces zanechá na oddílu pro obnovení legitimní soubory a složky, mimo jiné konfigurační soubor XML a adresář Recovery .
2. Úprava oddílu pro obnovení: Útočník s krátkým fyzickým přístupem ke stroji do něj nakopíruje speciálně připravený soubor XML, uváděný také jako unattend.xml, a upravenou složku Recovery .
3. Restart do WinRE: Po restartu se počítač spustí v režimu obnovení. Protože systém tyto soubory a prostředí spojuje s důvěryhodným postupem offline kontroly Defenderu, BitLocker může uvolnit klíč bez zadání hesla, PINu nebo obnovovacího klíče .
4. Získání oprávnění SYSTEM: Upravený XML soubor se při startu zpracuje automaticky a podle dostupného proof of concept vyvolá příkazový řádek s oprávněními NT AUTHORITY\\SYSTEM. Útočník pak může číst, kopírovat nebo měnit data na zašifrovaném disku .

Hive Security tento problém shrnuje tak, že soubor udělal přesně to, k čemu byl navržen — jen „ve špatných rukou, ve špatný čas a uvnitř jediného prostředí, kterému BitLocker důvěřuje natolik, že nechá klíče být“ .

GreatXML zapadá do širší série útoků

Nejde o izolovaný případ. Nightmare Eclipse od dubna 2026 postupně zveřejňuje zranitelnosti v různých součástech Windows a současně vede veřejný spor s Microsoftem o způsob, jakým firma bezpečnostní chyby řeší . Výzkumník k jednotlivým chybám zveřejnil také funkční nebo částečný proof of concept. Microsoft tento způsob zveřejňování kritizoval s tím, že zákazníky vystavuje „zbytečnému riziku“ .

Mezi zveřejněné chyby patří:

BlueHammer byla lokální chyba zvýšení oprávnění ve Windows Defenderu s hodnocením CVSS 7,8 . RedSun a UnDefend se týkaly mechanismů vracení cloudových souborů a aktualizace signatur Defenderu . YellowKey byl dřívější způsob obejití BitLockeru, zatímco GreenPlasma zneužívala proces CTFMON k získání oprávnění SYSTEM .

RoguePlanet, zveřejněný den před GreatXML, podle výzkumníka využívá závodní podmínku typu TOCTOU v Microsoft Defenderu. Ta může na plně aktualizovaných systémech vést k lokálnímu zvýšení oprávnění až na úroveň SYSTEM .

Co opravil červnový Patch Tuesday

Microsoft 9. června 2026 vydal pravidelnou bezpečnostní aktualizaci Patch Tuesday, která opravila více než 200 zranitelností včetně šesti zero-day chyb . Z problémů spojených s kampaní Nightmare Eclipse byly v aktualizaci podle dostupných zpráv opraveny dvě:

• GreenPlasma (CVE-2026-45586)
• YellowKey (CVE-2026-50507)

GreatXML ani RoguePlanet do této aktualizace zahrnuty nebyly. K datu posledních dostupných zpráv pro ně neexistoval oficiální patch a GreatXML neměl přidělené CVE .

Která zařízení jsou ohrožena

Riziko se týká zařízení s BitLockerem nastaveným v režimu TPM-only, pokud na nich byla alespoň jednou spuštěna offline kontrola Microsoft Defenderu .

TPM, tedy modul pro zabezpečené ukládání kryptografických klíčů, v tomto režimu během běžného startu automaticky zpřístupní klíč k disku. Právě tato automatizace podle popisu útoku pomáhá GreatXML po přesměrování počítače do důvěryhodného prostředí WinRE.

Největší praktické riziko proto představují notebooky, přenosné pracovní stanice a další zařízení, která může někdo ukrást nebo na krátkou dobu fyzicky získat pod kontrolu. Servery mohou být rovněž zasaženy, ale požadavek na fyzický přístup u nich obvykle snižuje pravděpodobnost útoku .

Co mohou organizace udělat před vydáním opravy

Protože pro GreatXML zatím není k dispozici oficiální oprava, měly by organizace použít náhradní ochranná opatření:

1. Přejít z TPM-only na TPM+PIN. BitLocker lze nastavit tak, aby kromě TPM vyžadoval také PIN, případně USB klíč pro spuštění. Ani po restartu do WinRE pak samotný TPM k odemknutí disku nestačí . Jde o nejúčinnější konfigurační opatření, které je podle dostupných doporučení nyní k dispozici.
2. Použít allowlisting aplikací. Nástroje typu ThreatLocker lze nastavit tak, aby blokovaly neautorizované binární soubory, skripty a XML konfigurační soubory ve fázi obnovy. Tím se může přerušit řetězec, který exploit potřebuje ke spuštění .
3. Zpřísnit fyzickou ochranu. Zařízení, na nichž někdy proběhla offline kontrola Defenderu, je vhodné do vydání opravy považovat za potenciálně ohrožená. Důležitý je zejména dohled nad notebooky a pracovními stanicemi mimo kontrolované prostory .
4. Provést audit prostředí. Zjistěte, na kterých počítačích byla offline kontrola spuštěna. Právě tato informace pomůže určit, která zařízení mají být zabezpečena přednostně.

GreatXML tedy neznamená, že každý zašifrovaný počítač lze automaticky odemknout na dálku. Útok vyžaduje specifickou historii zařízení i fyzický přístup. Pro organizace, které používají BitLocker v režimu TPM-only, je ale rozumné považovat všechna odpovídající zařízení za potenciálně zneužitelná, dokud Microsoft nevydá opravu nebo přesnější technické pokyny.