התקיפה אינה דורשת התחברות לחשבון או ידיעת סיסמה, מפתח שחזור או קוד PIN. עם זאת, היא כן דורשת גישה פיזית למחשב ואת התנאים המקדימים המתאימים. נכון למועד הפרסום, GreatXML לא קיבלה תיקון רשמי ממיקרוסופט ולא הוקצה לה מזהה CVE .

החוקר תיאר את הממצא כגילוי מקרי שנמצא לאחר כארבע שעות מחקר בלבד . חשוב להדגיש: מדובר בטענת PoC שפורסמה בפומבי, והאימות החיצוני שלה עדיין מוגבל; היא טרם אושרה כ-CVE רשמי של מיקרוסופט .

כיצד GreatXML עוקפת את BitLocker

בלב הפרצה עומדת מערכת היחסים של אמון בין BitLocker לבין סביבת השחזור של Windows. BitLocker נועדה להגן על הנתונים בכונן, אך Windows עשויה לפתוח את הכונן באופן אוטומטי כאשר המחשב נכנס לסביבת שחזור שנחשבת מהימנה. אותה סביבה משמשת גם את Microsoft Defender Offline Scan — סריקה שמופעלת מחוץ ל-Windows הרגילה.

שרשרת התקיפה, ברמה כללית, נראית כך:

1. תנאי מקדים: יש להפעיל במחשב את Microsoft Defender Offline Scan לפחות פעם אחת. לפי הדיווחים, הפעולה משאירה במחיצת השחזור קבצים לגיטימיים, ובהם קובץ תצורה מבוסס XML ותיקיית Recovery .
2. שינוי מחיצת השחזור: תוקף בעל גישה פיזית קצרה למחשב מעתיק למחיצה קובץ XML שנוצר במיוחד ותיקיית Recovery ששונתה .
3. אתחול ל-WinRE: המחשב מאתחל לסביבת Windows Recovery. מכיוון שהסביבה והקבצים קשורים לזרימת העבודה המהימנה של סריקת Defender Offline, BitLocker עשויה לשחרר את מפתח ההצפנה בלי לבקש סיסמה, PIN או מפתח שחזור .
4. קבלת מעטפת SYSTEM: קובץ ה-XML מעובד בעת העלייה ומפעיל שורת פקודה בהרשאות NT AUTHORITY\\SYSTEM. משם ניתן, לפי הדיווחים, לקרוא, להעתיק או לשנות קבצים בכונן המוצפן .

במילים פשוטות, GreatXML אינה מפצחת את ההצפנה המתמטית של BitLocker. היא מנצלת את העובדה שסביבת השחזור עצמה זוכה לאמון, ואת האופן שבו Windows מטפלת בקבצי התצורה שלה. Hive Security ניסחה זאת כך: הקובץ "עשה בדיוק את מה שתוכנן לעשות — רק בידיים הלא נכונות, בזמן הלא נכון, בתוך הסביבה היחידה שבה BitLocker סומכת על כך שהמפתחות יישארו ללא הפרעה" .

מי חשוף במיוחד

התרחיש המדאיג ביותר הוא מחשב Windows שמקיים את שני התנאים הבאים:

• BitLocker מוגדרת בו במצב TPM-only — פתיחה אוטומטית באמצעות Trusted Platform Module, ללא דרישת PIN בעת האתחול.
• Microsoft Defender Offline Scan הופעלה בו לפחות פעם אחת .

במצב TPM-only, רכיב ה-TPM מוסר את מפתח ההצפנה במהלך האתחול בהתאם למדיניות האבטחה של המכשיר. לכן, אם התוקף מצליח לגרום למחשב להיכנס לסביבת WinRE המהימנה, הכונן עלול להיפתח בלי שהמשתמש יקליד סיסמה או PIN .

הסיכון המעשי גבוה יותר במחשבים ניידים, בתחנות עבודה ניידות ובמכשירים שניתן לגנוב או לגשת אליהם לזמן קצר. שרתים עשויים להיות מושפעים גם הם, אך הדרישה לגישה פיזית הופכת אותם ליעד פחות סביר ברבים מתרחישי האיום .

עוד חוליה בשרשרת החשיפות של Nightmare Eclipse

GreatXML היא הפרצה השביעית ש-Nightmare Eclipse פרסם מאז תחילת אפריל 2026, במסגרת עימות ציבורי ומתמשך עם מיקרוסופט סביב אופן הטיפול בחשיפות אבטחה . החוקר פרסם את הפרצות לצד קוד PoC או פרטים טכניים, ומיקרוסופט מתחה ביקורת על חשיפה ללא תיאום מוקדם, בטענה שהדבר מעמיד את הלקוחות "בסיכון מיותר" .

BlueHammer הייתה חולשת העלאת הרשאות מקומית ב-Windows Defender, עם ציון CVSS של 7.8 . RedSun ו-UnDefend התמקדו, בהתאמה, במנגנוני החזרת קבצים בענן ובעדכוני חתימות של Defender . YellowKey הייתה פרצת עקיפת BitLocker קודמת, ואילו GreenPlasma אפשרה העלאת הרשאות באמצעות CTFMON .

RoguePlanet, שפורסמה יום לפני GreatXML, מנצלת תנאי מרוץ מסוג TOCTOU ב-Microsoft Defender כדי להשיג הרשאות SYSTEM במערכות Windows 10 ו-Windows 11 מעודכנות במלואן, לפי דיווחי החוקרים .

מה תוקן בעדכון יוני של מיקרוסופט — ומה לא

עדכון ה-Patch Tuesday של מיקרוסופט מ-9 ביוני 2026 כלל תיקונים ליותר מ-200 חולשות, ובהן שש חולשות יום-אפס . מתוך החשיפות המזוהות עם Nightmare Eclipse, שתי חולשות קיבלו תיקון:

• GreenPlasma — CVE-2026-45586
• YellowKey — CVE-2026-50507

לעומת זאת, RoguePlanet ו-GreatXML לא נכללו בעדכון. לפי המידע הזמין בעת הפרסום, לשתיהן עדיין לא היה תיקון רשמי, ול-GreatXML לא הוקצה CVE .

מה ארגונים יכולים לעשות עכשיו

בהיעדר תיקון רשמי, מומלץ להתייחס לכל מחשב שעומד בתנאים המתאימים כאל מערכת שעלולה להיות חשופה, וליישם בקרות מפצות .

1. לעבור מ-TPM-only ל-TPM עם PIN: זהו אמצעי ההגנה המרכזי ברמת התצורה. דרישת PIN לצד ה-TPM — או שימוש ב-TPM ובמפתח אתחול USB — מונעת מהכונן להיפתח ללא גורם האימות הנוסף, גם אם המחשב מאתחל ל-WinRE .
2. להפעיל בקרות allowlisting: פתרונות כמו ThreatLocker יכולים לסייע בחסימת הרצה של קבצים בינאריים, סקריפטים וקובצי תצורה לא מורשים בסביבת השחזור, ובכך לשבש את שרשרת ההרצה של התקיפה .
3. לחזק את האבטחה הפיזית: יש להקדיש תשומת לב מיוחדת למחשבים שעברו בעבר סריקת Defender Offline, להגביל גישה לא מורשית ולנטר טיפול חריג במכשירים עד לקבלת תיקון .
4. לבצע מיפוי של המחשבים בארגון: בדקו אילו מכשירים הפעילו בעבר סריקה לא מקוונת. ללא התנאי המקדים הזה, לא ניתן להכין את התרחיש המתואר, ולכן המיפוי מסייע לתעדף את המערכות הדחופות ביותר.

השורה התחתונה

GreatXML מדגימה כיצד רכיב שנועד לסייע בשחזור מערכת יכול להפוך לנקודת תורפה כאשר הוא מקבל אמון רחב מדי. היא אינה מתקפה מרחוק: התוקף זקוק לגישה פיזית ולמחשב שבו הופעלה בעבר סריקת Defender Offline. אך במחשבים ניידים ובציוד ארגוני שניתן לקחת או לגשת אליו לזמן קצר, זו עדיין דרישת סף מעשית.

עד שמיקרוסופט תפרסם תיקון או הנחיות רשמיות מעודכנות, ארגונים צריכים לתעדף TPM עם PIN, הגנה פיזית ובקרות allowlisting — ולא להניח שעצם קיומה של הצפנת BitLocker מבטיח שהנתונים מוגנים בכל מצב.

התקיפה אינה דורשת התחברות לחשבון או ידיעת סיסמה, מפתח שחזור או קוד PIN. עם זאת, היא כן דורשת גישה פיזית למחשב ואת התנאים המקדימים המתאימים. נכון למועד הפרסום, GreatXML לא קיבלה תיקון רשמי ממיקרוסופט ולא הוקצה לה מזהה CVE .

החוקר תיאר את הממצא כגילוי מקרי שנמצא לאחר כארבע שעות מחקר בלבד . חשוב להדגיש: מדובר בטענת PoC שפורסמה בפומבי, והאימות החיצוני שלה עדיין מוגבל; היא טרם אושרה כ-CVE רשמי של מיקרוסופט .

כיצד GreatXML עוקפת את BitLocker

בלב הפרצה עומדת מערכת היחסים של אמון בין BitLocker לבין סביבת השחזור של Windows. BitLocker נועדה להגן על הנתונים בכונן, אך Windows עשויה לפתוח את הכונן באופן אוטומטי כאשר המחשב נכנס לסביבת שחזור שנחשבת מהימנה. אותה סביבה משמשת גם את Microsoft Defender Offline Scan — סריקה שמופעלת מחוץ ל-Windows הרגילה.

שרשרת התקיפה, ברמה כללית, נראית כך:

1. תנאי מקדים: יש להפעיל במחשב את Microsoft Defender Offline Scan לפחות פעם אחת. לפי הדיווחים, הפעולה משאירה במחיצת השחזור קבצים לגיטימיים, ובהם קובץ תצורה מבוסס XML ותיקיית Recovery .
2. שינוי מחיצת השחזור: תוקף בעל גישה פיזית קצרה למחשב מעתיק למחיצה קובץ XML שנוצר במיוחד ותיקיית Recovery ששונתה .
3. אתחול ל-WinRE: המחשב מאתחל לסביבת Windows Recovery. מכיוון שהסביבה והקבצים קשורים לזרימת העבודה המהימנה של סריקת Defender Offline, BitLocker עשויה לשחרר את מפתח ההצפנה בלי לבקש סיסמה, PIN או מפתח שחזור .
4. קבלת מעטפת SYSTEM: קובץ ה-XML מעובד בעת העלייה ומפעיל שורת פקודה בהרשאות NT AUTHORITY\\SYSTEM. משם ניתן, לפי הדיווחים, לקרוא, להעתיק או לשנות קבצים בכונן המוצפן .

במילים פשוטות, GreatXML אינה מפצחת את ההצפנה המתמטית של BitLocker. היא מנצלת את העובדה שסביבת השחזור עצמה זוכה לאמון, ואת האופן שבו Windows מטפלת בקבצי התצורה שלה. Hive Security ניסחה זאת כך: הקובץ "עשה בדיוק את מה שתוכנן לעשות — רק בידיים הלא נכונות, בזמן הלא נכון, בתוך הסביבה היחידה שבה BitLocker סומכת על כך שהמפתחות יישארו ללא הפרעה" .

מי חשוף במיוחד

התרחיש המדאיג ביותר הוא מחשב Windows שמקיים את שני התנאים הבאים:

• BitLocker מוגדרת בו במצב TPM-only — פתיחה אוטומטית באמצעות Trusted Platform Module, ללא דרישת PIN בעת האתחול.
• Microsoft Defender Offline Scan הופעלה בו לפחות פעם אחת .

במצב TPM-only, רכיב ה-TPM מוסר את מפתח ההצפנה במהלך האתחול בהתאם למדיניות האבטחה של המכשיר. לכן, אם התוקף מצליח לגרום למחשב להיכנס לסביבת WinRE המהימנה, הכונן עלול להיפתח בלי שהמשתמש יקליד סיסמה או PIN .

הסיכון המעשי גבוה יותר במחשבים ניידים, בתחנות עבודה ניידות ובמכשירים שניתן לגנוב או לגשת אליהם לזמן קצר. שרתים עשויים להיות מושפעים גם הם, אך הדרישה לגישה פיזית הופכת אותם ליעד פחות סביר ברבים מתרחישי האיום .

עוד חוליה בשרשרת החשיפות של Nightmare Eclipse

GreatXML היא הפרצה השביעית ש-Nightmare Eclipse פרסם מאז תחילת אפריל 2026, במסגרת עימות ציבורי ומתמשך עם מיקרוסופט סביב אופן הטיפול בחשיפות אבטחה . החוקר פרסם את הפרצות לצד קוד PoC או פרטים טכניים, ומיקרוסופט מתחה ביקורת על חשיפה ללא תיאום מוקדם, בטענה שהדבר מעמיד את הלקוחות "בסיכון מיותר" .

BlueHammer הייתה חולשת העלאת הרשאות מקומית ב-Windows Defender, עם ציון CVSS של 7.8 . RedSun ו-UnDefend התמקדו, בהתאמה, במנגנוני החזרת קבצים בענן ובעדכוני חתימות של Defender . YellowKey הייתה פרצת עקיפת BitLocker קודמת, ואילו GreenPlasma אפשרה העלאת הרשאות באמצעות CTFMON .

RoguePlanet, שפורסמה יום לפני GreatXML, מנצלת תנאי מרוץ מסוג TOCTOU ב-Microsoft Defender כדי להשיג הרשאות SYSTEM במערכות Windows 10 ו-Windows 11 מעודכנות במלואן, לפי דיווחי החוקרים .

מה תוקן בעדכון יוני של מיקרוסופט — ומה לא

עדכון ה-Patch Tuesday של מיקרוסופט מ-9 ביוני 2026 כלל תיקונים ליותר מ-200 חולשות, ובהן שש חולשות יום-אפס . מתוך החשיפות המזוהות עם Nightmare Eclipse, שתי חולשות קיבלו תיקון:

• GreenPlasma — CVE-2026-45586
• YellowKey — CVE-2026-50507

לעומת זאת, RoguePlanet ו-GreatXML לא נכללו בעדכון. לפי המידע הזמין בעת הפרסום, לשתיהן עדיין לא היה תיקון רשמי, ול-GreatXML לא הוקצה CVE .

מה ארגונים יכולים לעשות עכשיו

בהיעדר תיקון רשמי, מומלץ להתייחס לכל מחשב שעומד בתנאים המתאימים כאל מערכת שעלולה להיות חשופה, וליישם בקרות מפצות .

1. לעבור מ-TPM-only ל-TPM עם PIN: זהו אמצעי ההגנה המרכזי ברמת התצורה. דרישת PIN לצד ה-TPM — או שימוש ב-TPM ובמפתח אתחול USB — מונעת מהכונן להיפתח ללא גורם האימות הנוסף, גם אם המחשב מאתחל ל-WinRE .
2. להפעיל בקרות allowlisting: פתרונות כמו ThreatLocker יכולים לסייע בחסימת הרצה של קבצים בינאריים, סקריפטים וקובצי תצורה לא מורשים בסביבת השחזור, ובכך לשבש את שרשרת ההרצה של התקיפה .
3. לחזק את האבטחה הפיזית: יש להקדיש תשומת לב מיוחדת למחשבים שעברו בעבר סריקת Defender Offline, להגביל גישה לא מורשית ולנטר טיפול חריג במכשירים עד לקבלת תיקון .
4. לבצע מיפוי של המחשבים בארגון: בדקו אילו מכשירים הפעילו בעבר סריקה לא מקוונת. ללא התנאי המקדים הזה, לא ניתן להכין את התרחיש המתואר, ולכן המיפוי מסייע לתעדף את המערכות הדחופות ביותר.

השורה התחתונה

GreatXML מדגימה כיצד רכיב שנועד לסייע בשחזור מערכת יכול להפוך לנקודת תורפה כאשר הוא מקבל אמון רחב מדי. היא אינה מתקפה מרחוק: התוקף זקוק לגישה פיזית ולמחשב שבו הופעלה בעבר סריקת Defender Offline. אך במחשבים ניידים ובציוד ארגוני שניתן לקחת או לגשת אליו לזמן קצר, זו עדיין דרישת סף מעשית.

עד שמיקרוסופט תפרסם תיקון או הנחיות רשמיות מעודכנות, ארגונים צריכים לתעדף TPM עם PIN, הגנה פיזית ובקרות allowlisting — ולא להניח שעצם קיומה של הצפנת BitLocker מבטיח שהנתונים מוגנים בכל מצב.