Sårbarheden blev offentliggjort 10. juni 2026 af sikkerhedsforskeren Nightmare Eclipse, der også bruger navnet Chaotic Eclipse. Angrebet kræver ikke brugerens adgangskode, pinkode eller BitLocker-gendannelsesnøgle, men angriberen skal have kortvarig fysisk adgang til computeren. Der var på tidspunktet for offentliggørelsen hverken en officiel rettelse eller et CVE-nummer til GreatXML .

Sådan udnytter GreatXML BitLockers tillidsmodel

BitLocker beskytter data ved at kryptere drevet, men Windows skal kunne få adgang til drevet i forbindelse med systemgendannelse. Derfor har WinRE en særlig status i Windows' opstarts- og gendannelsesforløb. Det er netop denne tillid, GreatXML forsøger at misbruge.

Angrebskæden ser ifølge de offentliggjorte analyser sådan ud:

1. En bestemt forudsætning skal være opfyldt. Microsoft Defender Offline Scan skal have været startet mindst én gang på den pågældende maskine. Det efterlader blandt andet en XML-baseret konfigurationsfil og en Recovery-mappe på gendannelsespartitionen .
2. Gendannelsespartitionen manipuleres. Med fysisk adgang kopierer angriberen en specialkonstrueret XML-fil og en ændret Recovery-mappe til partitionen .
3. Maskinen genstartes i WinRE. Når Windows starter i gendannelsestilstand, behandles filerne som en del af den betroede gendannelsesproces. Under TPM-only-konfiguration kan BitLocker derfor frigive krypteringsnøglen uden at bede om en adgangskode, PIN-kode eller gendannelsesnøgle .
4. Der opnås SYSTEM-adgang. Den manipulerede XML-konfiguration får en kommandoprompt til at køre som NT AUTHORITY\\SYSTEM. Herfra kan en angriber i princippet læse, kopiere eller ændre filer på det krypterede drev .

Hive Security beskriver problemet som, at filen gør præcis det, den er designet til – blot i de forkerte hænder, på det forkerte tidspunkt og i det miljø, som BitLocker stoler på . Samtidig understreger sikkerhedsmiljøet, at GreatXML fortsat bør betragtes som et teknisk plausibelt proof of concept med begrænset ekstern validering og ikke som en Microsoft-bekræftet CVE .

Hvem er udsat?

Den relevante kombination er:

• en Windows-enhed med BitLocker,
• BitLocker konfigureret i TPM-only-tilstand, og
• en maskine, hvor Microsoft Defender Offline Scan tidligere har været startet .

TPM står for Trusted Platform Module – en sikkerhedschip, der kan opbevare og frigive krypteringsnøgler under bestemte opstartsforhold. I TPM-only-tilstand kan drevet låses op automatisk ved opstart. Det gør bærbare computere, mobile arbejdsstationer og andre enheder, som kan blive stjålet eller kortvarigt håndteret af uvedkommende, særligt relevante i organisationers risikovurdering.

Servere kan også være berørt, men kravet om fysisk adgang gør scenariet mindre sandsynligt i mange servermiljøer. GreatXML er altså ikke et fjernangreb: Den fysiske adgang er en central del af angrebet .

GreatXML er den seneste i en række Windows-zero-days

GreatXML står ikke alene. Nightmare Eclipse har siden april 2026 offentliggjort en række sårbarheder i Windows og Microsoft Defender og har samtidig været involveret i en offentlig konflikt med Microsoft om håndteringen af sikkerhedsfejl . Forskeren har i flere tilfælde offentliggjort fungerende proof-of-concept-kode, hvilket Microsoft har kritiseret som en praksis, der udsætter kunder for unødvendig risiko .

BlueHammer var en lokal rettighedsforøgelse i Windows Defender med en CVSS-score på 7,8 . RedSun og UnDefend rettede sig ifølge analyserne mod henholdsvis Defenders cloud-baserede filgendannelse og signaturopdateringer . YellowKey var også en BitLocker-omgåelse, mens GreenPlasma udnyttede CTFMON til at opnå SYSTEM-adgang .

RoguePlanet, som blev offentliggjort dagen før GreatXML, udnytter en såkaldt TOCTOU-kapløbstilstand i Microsoft Defender. Den kan ifølge forskeren give en lokal bruger SYSTEM-rettigheder, også på fuldt opdaterede Windows 10- og Windows 11-systemer .

Juni-opdateringen løste ikke GreatXML

Microsofts Patch Tuesday-opdatering 9. juni 2026 rettede over 200 sårbarheder, herunder seks zero-days . Blandt Nightmare Eclipse-relaterede sårbarheder blev GreenPlasma og YellowKey rettet .

RoguePlanet og GreatXML var derimod ikke omfattet af opdateringen. Ifølge den seneste rapportering havde ingen af dem en officiel rettelse eller et tildelt CVE-nummer på offentliggørelsestidspunktet .

Hvad kan organisationer gøre nu?

Indtil Microsoft udsender en rettelse, bør berørte organisationer bruge kompenserende kontroller og prioritere de enheder, hvor Defender Offline Scan tidligere har været startet .

1. Skift fra TPM-only til TPM+PIN. Kræv en PIN-kode sammen med TPM, eller brug TPM kombineret med en USB-startnøgle. Det betyder, at en genstart til WinRE ikke i sig selv bør være nok til at låse drevet op .
2. Brug applikations-allowlisting. Kontroller som dem, der tilbydes af ThreatLocker, kan konfigureres til at blokere uautoriserede binære filer, scripts og XML-baserede opsætningsfiler i gendannelsesmiljøet .
3. Styrk den fysiske sikkerhed. Behandl enheder, der har kørt en Defender Offline Scan, som særligt udsatte, indtil der foreligger en rettelse. Begræns fysisk adgang, og vær opmærksom på uautoriseret håndtering .
4. Kortlæg berørte maskiner. Find ud af, hvilke enheder der har kørt en offline-scanning, og brug resultatet til at prioritere TPM+PIN, fysisk sikring og overvågning.

Den vigtigste pointe er, at BitLocker ikke nødvendigvis svigter som krypteringsteknologi. GreatXML udnytter i stedet den tillid, Windows giver sit eget gendannelsesmiljø. For organisationer med relevante enheder er den forsigtige tilgang derfor at antage, at systemerne kan udnyttes, indtil Microsoft har leveret en officiel løsning.

Sårbarheden blev offentliggjort 10. juni 2026 af sikkerhedsforskeren Nightmare Eclipse, der også bruger navnet Chaotic Eclipse. Angrebet kræver ikke brugerens adgangskode, pinkode eller BitLocker-gendannelsesnøgle, men angriberen skal have kortvarig fysisk adgang til computeren. Der var på tidspunktet for offentliggørelsen hverken en officiel rettelse eller et CVE-nummer til GreatXML .

Sådan udnytter GreatXML BitLockers tillidsmodel

BitLocker beskytter data ved at kryptere drevet, men Windows skal kunne få adgang til drevet i forbindelse med systemgendannelse. Derfor har WinRE en særlig status i Windows' opstarts- og gendannelsesforløb. Det er netop denne tillid, GreatXML forsøger at misbruge.

Angrebskæden ser ifølge de offentliggjorte analyser sådan ud:

1. En bestemt forudsætning skal være opfyldt. Microsoft Defender Offline Scan skal have været startet mindst én gang på den pågældende maskine. Det efterlader blandt andet en XML-baseret konfigurationsfil og en Recovery-mappe på gendannelsespartitionen .
2. Gendannelsespartitionen manipuleres. Med fysisk adgang kopierer angriberen en specialkonstrueret XML-fil og en ændret Recovery-mappe til partitionen .
3. Maskinen genstartes i WinRE. Når Windows starter i gendannelsestilstand, behandles filerne som en del af den betroede gendannelsesproces. Under TPM-only-konfiguration kan BitLocker derfor frigive krypteringsnøglen uden at bede om en adgangskode, PIN-kode eller gendannelsesnøgle .
4. Der opnås SYSTEM-adgang. Den manipulerede XML-konfiguration får en kommandoprompt til at køre som NT AUTHORITY\\SYSTEM. Herfra kan en angriber i princippet læse, kopiere eller ændre filer på det krypterede drev .

Hive Security beskriver problemet som, at filen gør præcis det, den er designet til – blot i de forkerte hænder, på det forkerte tidspunkt og i det miljø, som BitLocker stoler på . Samtidig understreger sikkerhedsmiljøet, at GreatXML fortsat bør betragtes som et teknisk plausibelt proof of concept med begrænset ekstern validering og ikke som en Microsoft-bekræftet CVE .

Hvem er udsat?

Den relevante kombination er:

• en Windows-enhed med BitLocker,
• BitLocker konfigureret i TPM-only-tilstand, og
• en maskine, hvor Microsoft Defender Offline Scan tidligere har været startet .

TPM står for Trusted Platform Module – en sikkerhedschip, der kan opbevare og frigive krypteringsnøgler under bestemte opstartsforhold. I TPM-only-tilstand kan drevet låses op automatisk ved opstart. Det gør bærbare computere, mobile arbejdsstationer og andre enheder, som kan blive stjålet eller kortvarigt håndteret af uvedkommende, særligt relevante i organisationers risikovurdering.

Servere kan også være berørt, men kravet om fysisk adgang gør scenariet mindre sandsynligt i mange servermiljøer. GreatXML er altså ikke et fjernangreb: Den fysiske adgang er en central del af angrebet .

GreatXML er den seneste i en række Windows-zero-days

GreatXML står ikke alene. Nightmare Eclipse har siden april 2026 offentliggjort en række sårbarheder i Windows og Microsoft Defender og har samtidig været involveret i en offentlig konflikt med Microsoft om håndteringen af sikkerhedsfejl . Forskeren har i flere tilfælde offentliggjort fungerende proof-of-concept-kode, hvilket Microsoft har kritiseret som en praksis, der udsætter kunder for unødvendig risiko .

BlueHammer var en lokal rettighedsforøgelse i Windows Defender med en CVSS-score på 7,8 . RedSun og UnDefend rettede sig ifølge analyserne mod henholdsvis Defenders cloud-baserede filgendannelse og signaturopdateringer . YellowKey var også en BitLocker-omgåelse, mens GreenPlasma udnyttede CTFMON til at opnå SYSTEM-adgang .

RoguePlanet, som blev offentliggjort dagen før GreatXML, udnytter en såkaldt TOCTOU-kapløbstilstand i Microsoft Defender. Den kan ifølge forskeren give en lokal bruger SYSTEM-rettigheder, også på fuldt opdaterede Windows 10- og Windows 11-systemer .

Juni-opdateringen løste ikke GreatXML

Microsofts Patch Tuesday-opdatering 9. juni 2026 rettede over 200 sårbarheder, herunder seks zero-days . Blandt Nightmare Eclipse-relaterede sårbarheder blev GreenPlasma og YellowKey rettet .

RoguePlanet og GreatXML var derimod ikke omfattet af opdateringen. Ifølge den seneste rapportering havde ingen af dem en officiel rettelse eller et tildelt CVE-nummer på offentliggørelsestidspunktet .

Hvad kan organisationer gøre nu?

Indtil Microsoft udsender en rettelse, bør berørte organisationer bruge kompenserende kontroller og prioritere de enheder, hvor Defender Offline Scan tidligere har været startet .

1. Skift fra TPM-only til TPM+PIN. Kræv en PIN-kode sammen med TPM, eller brug TPM kombineret med en USB-startnøgle. Det betyder, at en genstart til WinRE ikke i sig selv bør være nok til at låse drevet op .
2. Brug applikations-allowlisting. Kontroller som dem, der tilbydes af ThreatLocker, kan konfigureres til at blokere uautoriserede binære filer, scripts og XML-baserede opsætningsfiler i gendannelsesmiljøet .
3. Styrk den fysiske sikkerhed. Behandl enheder, der har kørt en Defender Offline Scan, som særligt udsatte, indtil der foreligger en rettelse. Begræns fysisk adgang, og vær opmærksom på uautoriseret håndtering .
4. Kortlæg berørte maskiner. Find ud af, hvilke enheder der har kørt en offline-scanning, og brug resultatet til at prioritere TPM+PIN, fysisk sikring og overvågning.

Den vigtigste pointe er, at BitLocker ikke nødvendigvis svigter som krypteringsteknologi. GreatXML udnytter i stedet den tillid, Windows giver sit eget gendannelsesmiljø. For organisationer med relevante enheder er den forsigtige tilgang derfor at antage, at systemerne kan udnyttes, indtil Microsoft har leveret en officiel løsning.