Yang membuat GreatXML sangat berbahaya adalah betapa mudahnya untuk dieksploitasi. Nightmare Eclipse menyebutnya sebagai "penemuan tidak sengaja" yang hanya membutuhkan waktu penelitian empat jam . Organisasi mana pun yang pernah menjalankan Microsoft Defender Offline Scan pada perangkat yang dilindungi BitLocker kini memiliki celah diam yang menunggu untuk dieksploitasi.

Bagaimana Eksploit GreatXML Membuka Kunci Drive Terenkripsi

GreatXML bekerja dengan memanfaatkan hubungan kepercayaan yang mendalam di dalam infrastruktur pemulihan Windows. BitLocker dirancang untuk melindungi data Anda, tetapi ia secara otomatis membuka kunci saat sistem memasuki lingkungan pemulihan tepercaya seperti WinRE — lingkungan yang sama yang digunakan oleh Microsoft Defender Offline Scan.

Berikut adalah rantai serangan langkah demi langkah:

1. Prasyarat tersembunyi: Microsoft Defender Offline Scan harus pernah dijalankan setidaknya satu kali pada perangkat target. Tindakan ini meninggalkan artefak sah di partisi pemulihan, termasuk file konfigurasi berbasis XML dan direktori Recovery . Artefak inilah yang menjadi pintu masuk eksploit.
2. Menanam file berbahaya: Dengan akses fisik singkat ke perangkat, penyerang menyalin file XML yang dirancang khusus dan folder Recovery yang dimodifikasi langsung ke partisi pemulihan .
3. Pemicu reboot: Perangkat di-reboot ke Windows Recovery Mode (WinRE). Karena lingkungan pemulihan dan file konfigurasinya dianggap sebagai sumber tepercaya dari alur kerja pemindaian Defender offline, BitLocker melepaskan kunci enkripsi volume tanpa meminta kata sandi, PIN, atau kunci pemulihan .
4. Shell SYSTEM didapatkan: File XML yang dirancang khusus diproses secara otomatis saat startup, yang memicu command prompt yang berjalan dengan hak istimewa NT AUTHORITY\SYSTEM. Dari shell itu, penyerang dapat membaca, menyalin, atau memodifikasi setiap file di drive terenkripsi .

Seperti yang dijelaskan Hive Security, file tersebut "melakukan persis apa yang dirancang untuk dilakukan — hanya saja di tangan yang salah, pada waktu yang salah, di dalam satu lingkungan yang dipercaya BitLocker untuk meninggalkan kuncinya" .

Gambaran Lebih Besar: Kampanye Nightmare Eclipse yang Kian Meningkat

GreatXML bukanlah pengungkapan yang terisolasi. Ini adalah celah zero-day ketujuh yang dipublikasikan sejak April 2026 oleh Nightmare Eclipse, seorang peneliti keamanan yang terlibat dalam perseteruan publik selama berbulan-bulan dengan Microsoft atas proses penanganan kerentanannya . Sang peneliti telah merilis setiap celah bersama dengan proof-of-concept (PoC) yang berfungsi, sebuah praktik yang dikutuk Microsoft sebagai tindakan yang membahayakan pelanggan .

Berikut adalah garis waktu lengkap pengungkapan Nightmare Eclipse pada tahun 2026 dan statusnya saat ini per pertengahan Juni:

BlueHammer adalah celah eskalasi hak istimewa lokal (LPE) di Windows Defender dengan skor CVSS 7.8 . RedSun dan UnDefend masing-masing menyerang mekanisme rollback file cloud dan pembaruan tanda tangan Defender . YellowKey adalah celah BitLocker bypass sebelumnya, dan GreenPlasma adalah LPE berbasis CTFMON yang memberikan akses SYSTEM .

Yang terbaru, RoguePlanet, dipublikasikan sehari sebelum GreatXML, mengeksploitasi kondisi race condition time-of-check to time-of-use (TOCTOU) di Microsoft Defender untuk mendapatkan hak istimewa SYSTEM pada sistem yang telah diperbarui sepenuhnya .

Patch Tuesday Juni 2026: Siapa yang Diperbaiki?

Patch Tuesday Microsoft pada 9 Juni 2026 memperbaiki lebih dari 200 kerentanan, termasuk enam celah zero-day . Di antara eksploit yang diungkapkan Nightmare Eclipse, dua di antaranya diatasi:

• GreenPlasma (CVE-2026-45586) telah ditambal .
• YellowKey (CVE-2026-50507) telah ditambal .

Namun, RoguePlanet dan GreatXML tidak termasuk dalam pembaruan tersebut. Hingga laporan terbaru, keduanya belum memiliki patch resmi atau penetapan CVE .

Siapa yang Rentan Terhadap Serangan Ini?

Profil sistem yang rentan ternyata sangat umum. Eksploit ini memengaruhi perangkat Windows apa pun yang menggunakan BitLocker dalam mode TPM-only di mana Microsoft Defender Offline Scan pernah dijalankan setidaknya satu kali .

Dalam mode TPM-only, Trusted Platform Module secara otomatis menyerahkan kunci enkripsi saat boot, itulah sebabnya eksploit bekerja dengan mulus begitu perangkat dipaksa masuk ke lingkungan WinRE yang tepercaya. Penyerang tidak perlu mengetahui kata sandi atau memiliki kunci pemulihan — cukup akses fisik ke laptop atau workstation dan waktu untuk satu kali reboot .

Ini membuat laptop, workstation portabel, dan perangkat seluler lainnya menjadi target utama untuk pencurian perusahaan atau serangan gaya "evil maid" singkat. Server juga terpengaruh, meskipun persyaratan akses fisik membuatnya menjadi target yang lebih kecil dalam sebagian besar model ancaman.

Mitigasi Sampai Microsoft Merilis Perbaikan

Belum ada patch resmi untuk GreatXML. Organisasi harus segera menerapkan kontrol kompensasi daripada menunggu Microsoft bertindak .

1. Beralih dari TPM-only ke otentikasi TPM+PIN. Ini adalah solusi paling efektif. Mengonfigurasi BitLocker untuk memerlukan TPM dengan PIN (atau TPM plus kunci startup USB) berarti bahwa bahkan jika penyerang me-reboot perangkat ke WinRE, drive tidak akan terbuka tanpa PIN .
2. Terapkan kontrol allowlisting aplikasi. Solusi seperti ThreatLocker dapat dikonfigurasi untuk memblokir biner, skrip, dan file pengaturan berbasis XML yang tidak sah agar tidak dieksekusi di lingkungan pemulihan, memutus rantai eksekusi serangan .
3. Perketat keamanan fisik untuk perangkat berisiko tinggi. Perlakukan perangkat apa pun yang pernah menjalani pemindaian Defender offline sebagai perangkat yang memiliki kerentanan permanen. Perkuat kontrol akses fisik dan pantau penanganan yang tidak sah sampai patch tersedia .
4. Audit lingkungan Anda. Tentukan mesin mana yang pernah menjalankan pemindaian offline. Tanpa prasyarat itu, eksploit tidak dapat dipentaskan, jadi mengidentifikasi perangkat tersebut membantu memprioritaskan mitigasi segera.

Komunitas keamanan memperlakukan GreatXML sebagai eksploit yang tersedia untuk umum, masuk akal secara teknis, dengan validasi eksternal yang tidak lengkap . Bagi tim pertahanan, itu berarti asumsi teraman adalah bahwa setiap sistem yang memenuhi syarat dapat dieksploitasi sampai terbukti sebaliknya.

Yang membuat GreatXML sangat berbahaya adalah betapa mudahnya untuk dieksploitasi. Nightmare Eclipse menyebutnya sebagai "penemuan tidak sengaja" yang hanya membutuhkan waktu penelitian empat jam . Organisasi mana pun yang pernah menjalankan Microsoft Defender Offline Scan pada perangkat yang dilindungi BitLocker kini memiliki celah diam yang menunggu untuk dieksploitasi.

Bagaimana Eksploit GreatXML Membuka Kunci Drive Terenkripsi

GreatXML bekerja dengan memanfaatkan hubungan kepercayaan yang mendalam di dalam infrastruktur pemulihan Windows. BitLocker dirancang untuk melindungi data Anda, tetapi ia secara otomatis membuka kunci saat sistem memasuki lingkungan pemulihan tepercaya seperti WinRE — lingkungan yang sama yang digunakan oleh Microsoft Defender Offline Scan.

Berikut adalah rantai serangan langkah demi langkah:

1. Prasyarat tersembunyi: Microsoft Defender Offline Scan harus pernah dijalankan setidaknya satu kali pada perangkat target. Tindakan ini meninggalkan artefak sah di partisi pemulihan, termasuk file konfigurasi berbasis XML dan direktori Recovery . Artefak inilah yang menjadi pintu masuk eksploit.
2. Menanam file berbahaya: Dengan akses fisik singkat ke perangkat, penyerang menyalin file XML yang dirancang khusus dan folder Recovery yang dimodifikasi langsung ke partisi pemulihan .
3. Pemicu reboot: Perangkat di-reboot ke Windows Recovery Mode (WinRE). Karena lingkungan pemulihan dan file konfigurasinya dianggap sebagai sumber tepercaya dari alur kerja pemindaian Defender offline, BitLocker melepaskan kunci enkripsi volume tanpa meminta kata sandi, PIN, atau kunci pemulihan .
4. Shell SYSTEM didapatkan: File XML yang dirancang khusus diproses secara otomatis saat startup, yang memicu command prompt yang berjalan dengan hak istimewa NT AUTHORITY\SYSTEM. Dari shell itu, penyerang dapat membaca, menyalin, atau memodifikasi setiap file di drive terenkripsi .

Seperti yang dijelaskan Hive Security, file tersebut "melakukan persis apa yang dirancang untuk dilakukan — hanya saja di tangan yang salah, pada waktu yang salah, di dalam satu lingkungan yang dipercaya BitLocker untuk meninggalkan kuncinya" .

Gambaran Lebih Besar: Kampanye Nightmare Eclipse yang Kian Meningkat

GreatXML bukanlah pengungkapan yang terisolasi. Ini adalah celah zero-day ketujuh yang dipublikasikan sejak April 2026 oleh Nightmare Eclipse, seorang peneliti keamanan yang terlibat dalam perseteruan publik selama berbulan-bulan dengan Microsoft atas proses penanganan kerentanannya . Sang peneliti telah merilis setiap celah bersama dengan proof-of-concept (PoC) yang berfungsi, sebuah praktik yang dikutuk Microsoft sebagai tindakan yang membahayakan pelanggan .

Berikut adalah garis waktu lengkap pengungkapan Nightmare Eclipse pada tahun 2026 dan statusnya saat ini per pertengahan Juni:

BlueHammer adalah celah eskalasi hak istimewa lokal (LPE) di Windows Defender dengan skor CVSS 7.8 . RedSun dan UnDefend masing-masing menyerang mekanisme rollback file cloud dan pembaruan tanda tangan Defender . YellowKey adalah celah BitLocker bypass sebelumnya, dan GreenPlasma adalah LPE berbasis CTFMON yang memberikan akses SYSTEM .

Yang terbaru, RoguePlanet, dipublikasikan sehari sebelum GreatXML, mengeksploitasi kondisi race condition time-of-check to time-of-use (TOCTOU) di Microsoft Defender untuk mendapatkan hak istimewa SYSTEM pada sistem yang telah diperbarui sepenuhnya .

Patch Tuesday Juni 2026: Siapa yang Diperbaiki?

Patch Tuesday Microsoft pada 9 Juni 2026 memperbaiki lebih dari 200 kerentanan, termasuk enam celah zero-day . Di antara eksploit yang diungkapkan Nightmare Eclipse, dua di antaranya diatasi:

• GreenPlasma (CVE-2026-45586) telah ditambal .
• YellowKey (CVE-2026-50507) telah ditambal .

Namun, RoguePlanet dan GreatXML tidak termasuk dalam pembaruan tersebut. Hingga laporan terbaru, keduanya belum memiliki patch resmi atau penetapan CVE .

Siapa yang Rentan Terhadap Serangan Ini?

Profil sistem yang rentan ternyata sangat umum. Eksploit ini memengaruhi perangkat Windows apa pun yang menggunakan BitLocker dalam mode TPM-only di mana Microsoft Defender Offline Scan pernah dijalankan setidaknya satu kali .

Dalam mode TPM-only, Trusted Platform Module secara otomatis menyerahkan kunci enkripsi saat boot, itulah sebabnya eksploit bekerja dengan mulus begitu perangkat dipaksa masuk ke lingkungan WinRE yang tepercaya. Penyerang tidak perlu mengetahui kata sandi atau memiliki kunci pemulihan — cukup akses fisik ke laptop atau workstation dan waktu untuk satu kali reboot .

Ini membuat laptop, workstation portabel, dan perangkat seluler lainnya menjadi target utama untuk pencurian perusahaan atau serangan gaya "evil maid" singkat. Server juga terpengaruh, meskipun persyaratan akses fisik membuatnya menjadi target yang lebih kecil dalam sebagian besar model ancaman.

Mitigasi Sampai Microsoft Merilis Perbaikan

Belum ada patch resmi untuk GreatXML. Organisasi harus segera menerapkan kontrol kompensasi daripada menunggu Microsoft bertindak .

1. Beralih dari TPM-only ke otentikasi TPM+PIN. Ini adalah solusi paling efektif. Mengonfigurasi BitLocker untuk memerlukan TPM dengan PIN (atau TPM plus kunci startup USB) berarti bahwa bahkan jika penyerang me-reboot perangkat ke WinRE, drive tidak akan terbuka tanpa PIN .
2. Terapkan kontrol allowlisting aplikasi. Solusi seperti ThreatLocker dapat dikonfigurasi untuk memblokir biner, skrip, dan file pengaturan berbasis XML yang tidak sah agar tidak dieksekusi di lingkungan pemulihan, memutus rantai eksekusi serangan .
3. Perketat keamanan fisik untuk perangkat berisiko tinggi. Perlakukan perangkat apa pun yang pernah menjalani pemindaian Defender offline sebagai perangkat yang memiliki kerentanan permanen. Perkuat kontrol akses fisik dan pantau penanganan yang tidak sah sampai patch tersedia .
4. Audit lingkungan Anda. Tentukan mesin mana yang pernah menjalankan pemindaian offline. Tanpa prasyarat itu, eksploit tidak dapat dipentaskan, jadi mengidentifikasi perangkat tersebut membantu memprioritaskan mitigasi segera.

Komunitas keamanan memperlakukan GreatXML sebagai eksploit yang tersedia untuk umum, masuk akal secara teknis, dengan validasi eksternal yang tidak lengkap . Bagi tim pertahanan, itu berarti asumsi teraman adalah bahwa setiap sistem yang memenuhi syarat dapat dieksploitasi sampai terbukti sebaliknya.