Ciò che rende GreatXML particolarmente pericolosa è la sua bassissima soglia di sfruttamento. Nightmare Eclipse l'ha definita una "scoperta accidentale" che ha richiesto appena quattro ore di ricerca . Qualsiasi organizzazione che abbia mai eseguito una scansione offline di Microsoft Defender su una macchina protetta da BitLocker possiede ora una vulnerabilità silenziosa e preesistente pronta per essere sfruttata.

Come l'Exploit GreatXML Sblocca un Drive Crittografato

GreatXML sfrutta un rapporto di fiducia profondamente radicato nell'infrastruttura di ripristino di Windows. BitLocker è progettato per proteggere i dati, ma si sblocca automaticamente quando il sistema entra in un ambiente di ripristino fidato come WinRE, lo stesso ambiente usato dalla scansione offline di Microsoft Defender.

Ecco la catena d'attacco passo dopo passo:

1. Il prerequisito nascosto: La scansione offline di Microsoft Defender deve essere stata avviata almeno una volta sul dispositivo bersaglio. Questa azione lascia artefatti legittimi nella partizione di ripristino, tra cui un file di configurazione basato su XML e una directory Recovery . Questi artefatti sono il punto d'ingresso per l'exploit.
2. Piantare i file dannosi: Con un breve accesso fisico alla macchina, un attaccante copia un file XML appositamente creato e una cartella Recovery modificata direttamente nella partizione di ripristino .
3. Il riavvio che innesca tutto: La macchina viene riavviata in modalità di ripristino di Windows (WinRE). Poiché l'ambiente di ripristino e i suoi file di configurazione sono considerati una fonte attendibile dal flusso di lavoro della scansione offline di Defender, BitLocker rilascia la chiave di crittografia del volume senza chiedere una password, un PIN o una chiave di ripristino .
4. Shell SYSTEM ottenuta: Il file XML creato ad hoc viene elaborato automaticamente all'avvio, attivando un prompt dei comandi con privilegi NT AUTHORITY\SYSTEM. Da quella shell, un attaccante può leggere, copiare o modificare qualsiasi file sul drive crittografato .

Come lo descrive Hive Security: il file "ha fatto esattamente ciò per cui era stato progettato, solo nelle mani sbagliate, al momento sbagliato, all'interno dell'unico ambiente di cui BitLocker si fida ciecamente" .

Il Quadro Generale: La Campagna Escalation di Nightmare Eclipse

GreatXML non è una divulgazione isolata. È la settima zero-day pubblicata dall'aprile 2026 da Nightmare Eclipse, un ricercatore di sicurezza che ha un acceso confronto pubblico con Microsoft da mesi riguardo al suo processo di gestione delle vulnerabilità . Il ricercatore ha rilasciato ogni falla insieme a un proof-of-concept (PoC) funzionante, una pratica che Microsoft ha condannato come "rischio inutile" per i clienti .

Ecco la cronologia completa delle divulgazioni di Nightmare Eclipse nel 2026 e il loro stato a metà giugno:

BlueHammer era una falla di escalation dei privilegi locali (LPE) in Windows Defender con un punteggio CVSS di 7.8 . RedSun e UnDefend attaccavano rispettivamente il rollback dei file cloud di Defender e i meccanismi di aggiornamento delle firme . YellowKey era un precedente bypass di BitLocker e GreenPlasma era un LPE basato su CTFMON che garantisce accesso SYSTEM .

Più recentemente, RoguePlanet, pubblicato il giorno prima di GreatXML, sfrutta una condizione di gara (time-of-check to time-of-use, TOCTOU) in Microsoft Defender per ottenere privilegi SYSTEM su sistemi completamente aggiornati .

Patch Tuesday di Giugno 2026: Chi è Stato Corretto

Il Patch Tuesday del 9 giugno 2026 di Microsoft ha corretto oltre 200 vulnerabilità, incluse sei zero-day . Tra gli exploit divulgati da Nightmare Eclipse, due sono stati risolti:

• GreenPlasma (CVE-2026-45586) è stata patchata .
• YellowKey (CVE-2026-50507) è stata patchata .

Tuttavia, sia RoguePlanet che GreatXML sono state escluse dall'aggiornamento. Al momento degli ultimi rapporti, nessuna delle due ha una patch ufficiale o un'assegnazione CVE .

Chi è Vulnerabile a Questo Attacco

Il profilo di un sistema vulnerabile è sorprendentemente comune. L'exploit colpisce qualsiasi dispositivo Windows che utilizza BitLocker in modalità solo TPM in cui sia stata eseguita almeno una volta la scansione offline di Microsoft Defender .

Nella modalità solo TPM, il Trusted Platform Module consegna automaticamente la chiave di crittografia all'avvio, motivo per cui l'exploit funziona perfettamente una volta che la macchina viene forzata nell'ambiente WinRE fidato. L'attaccante non ha bisogno di conoscere una password o possedere una chiave di ripristino, ma solo di avere accesso fisico al computer per il tempo necessario a un singolo riavvio .

Questo rende laptop, workstation portatili e altri dispositivi mobili i bersagli principali per furti aziendali o attacchi stile "evil maid". Anche i server sono colpiti, sebbene il requisito dell'accesso fisico li renda bersagli meno probabili nella maggior parte dei modelli di minaccia.

Mitigazioni in Attesa della Patch di Microsoft

Non esiste una patch ufficiale per GreatXML. Le organizzazioni dovrebbero implementare immediatamente dei controlli compensativi piuttosto che aspettare l'intervento di Microsoft .

1. Passare dall'autenticazione solo TPM a TPM+PIN. Questa è la soluzione alternativa più efficace. Configurando BitLocker per richiedere un TPM con un PIN (o TPM più una chiave di avvio USB), anche se un attaccante riavviasse il dispositivo in WinRE, il drive non si sbloccherebbe senza il PIN .
2. Applicare controlli di whitelisting delle applicazioni. Soluzioni come ThreatLocker possono essere configurate per bloccare l'esecuzione di binari, script e file di installazione XML non autorizzati nell'ambiente di ripristino, interrompendo la catena di esecuzione dell'attacco .
3. Rafforzare la sicurezza fisica per i dispositivi ad alto rischio. Tratta qualsiasi dispositivo che abbia mai eseguito una scansione offline di Defender come se avesse una vulnerabilità permanente. Rafforza i controlli di accesso fisico e monitora eventuali manipolazioni non autorizzate fino a quando non sarà disponibile una patch .
4. Eseguire un audit dell'ambiente. Identifica quali macchine hanno eseguito una scansione offline. Senza quel prerequisito, l'exploit non può essere messo in atto, quindi identificare quei dispositivi aiuta a prioritizzare le mitigazioni immediate.

La comunità della sicurezza sta trattando GreatXML come un exploit tecnicamente plausibile e disponibile pubblicamente, con una validazione esterna incompleta . Per i team di difesa, ciò significa che l'ipotesi più sicura è che ogni sistema idoneo sia sfruttabile fino a prova contraria.

Ciò che rende GreatXML particolarmente pericolosa è la sua bassissima soglia di sfruttamento. Nightmare Eclipse l'ha definita una "scoperta accidentale" che ha richiesto appena quattro ore di ricerca . Qualsiasi organizzazione che abbia mai eseguito una scansione offline di Microsoft Defender su una macchina protetta da BitLocker possiede ora una vulnerabilità silenziosa e preesistente pronta per essere sfruttata.

Come l'Exploit GreatXML Sblocca un Drive Crittografato

GreatXML sfrutta un rapporto di fiducia profondamente radicato nell'infrastruttura di ripristino di Windows. BitLocker è progettato per proteggere i dati, ma si sblocca automaticamente quando il sistema entra in un ambiente di ripristino fidato come WinRE, lo stesso ambiente usato dalla scansione offline di Microsoft Defender.

Ecco la catena d'attacco passo dopo passo:

1. Il prerequisito nascosto: La scansione offline di Microsoft Defender deve essere stata avviata almeno una volta sul dispositivo bersaglio. Questa azione lascia artefatti legittimi nella partizione di ripristino, tra cui un file di configurazione basato su XML e una directory Recovery . Questi artefatti sono il punto d'ingresso per l'exploit.
2. Piantare i file dannosi: Con un breve accesso fisico alla macchina, un attaccante copia un file XML appositamente creato e una cartella Recovery modificata direttamente nella partizione di ripristino .
3. Il riavvio che innesca tutto: La macchina viene riavviata in modalità di ripristino di Windows (WinRE). Poiché l'ambiente di ripristino e i suoi file di configurazione sono considerati una fonte attendibile dal flusso di lavoro della scansione offline di Defender, BitLocker rilascia la chiave di crittografia del volume senza chiedere una password, un PIN o una chiave di ripristino .
4. Shell SYSTEM ottenuta: Il file XML creato ad hoc viene elaborato automaticamente all'avvio, attivando un prompt dei comandi con privilegi NT AUTHORITY\SYSTEM. Da quella shell, un attaccante può leggere, copiare o modificare qualsiasi file sul drive crittografato .

Come lo descrive Hive Security: il file "ha fatto esattamente ciò per cui era stato progettato, solo nelle mani sbagliate, al momento sbagliato, all'interno dell'unico ambiente di cui BitLocker si fida ciecamente" .

Il Quadro Generale: La Campagna Escalation di Nightmare Eclipse

GreatXML non è una divulgazione isolata. È la settima zero-day pubblicata dall'aprile 2026 da Nightmare Eclipse, un ricercatore di sicurezza che ha un acceso confronto pubblico con Microsoft da mesi riguardo al suo processo di gestione delle vulnerabilità . Il ricercatore ha rilasciato ogni falla insieme a un proof-of-concept (PoC) funzionante, una pratica che Microsoft ha condannato come "rischio inutile" per i clienti .

Ecco la cronologia completa delle divulgazioni di Nightmare Eclipse nel 2026 e il loro stato a metà giugno:

BlueHammer era una falla di escalation dei privilegi locali (LPE) in Windows Defender con un punteggio CVSS di 7.8 . RedSun e UnDefend attaccavano rispettivamente il rollback dei file cloud di Defender e i meccanismi di aggiornamento delle firme . YellowKey era un precedente bypass di BitLocker e GreenPlasma era un LPE basato su CTFMON che garantisce accesso SYSTEM .

Più recentemente, RoguePlanet, pubblicato il giorno prima di GreatXML, sfrutta una condizione di gara (time-of-check to time-of-use, TOCTOU) in Microsoft Defender per ottenere privilegi SYSTEM su sistemi completamente aggiornati .

Patch Tuesday di Giugno 2026: Chi è Stato Corretto

Il Patch Tuesday del 9 giugno 2026 di Microsoft ha corretto oltre 200 vulnerabilità, incluse sei zero-day . Tra gli exploit divulgati da Nightmare Eclipse, due sono stati risolti:

• GreenPlasma (CVE-2026-45586) è stata patchata .
• YellowKey (CVE-2026-50507) è stata patchata .

Tuttavia, sia RoguePlanet che GreatXML sono state escluse dall'aggiornamento. Al momento degli ultimi rapporti, nessuna delle due ha una patch ufficiale o un'assegnazione CVE .

Chi è Vulnerabile a Questo Attacco

Il profilo di un sistema vulnerabile è sorprendentemente comune. L'exploit colpisce qualsiasi dispositivo Windows che utilizza BitLocker in modalità solo TPM in cui sia stata eseguita almeno una volta la scansione offline di Microsoft Defender .

Nella modalità solo TPM, il Trusted Platform Module consegna automaticamente la chiave di crittografia all'avvio, motivo per cui l'exploit funziona perfettamente una volta che la macchina viene forzata nell'ambiente WinRE fidato. L'attaccante non ha bisogno di conoscere una password o possedere una chiave di ripristino, ma solo di avere accesso fisico al computer per il tempo necessario a un singolo riavvio .

Questo rende laptop, workstation portatili e altri dispositivi mobili i bersagli principali per furti aziendali o attacchi stile "evil maid". Anche i server sono colpiti, sebbene il requisito dell'accesso fisico li renda bersagli meno probabili nella maggior parte dei modelli di minaccia.

Mitigazioni in Attesa della Patch di Microsoft

Non esiste una patch ufficiale per GreatXML. Le organizzazioni dovrebbero implementare immediatamente dei controlli compensativi piuttosto che aspettare l'intervento di Microsoft .

1. Passare dall'autenticazione solo TPM a TPM+PIN. Questa è la soluzione alternativa più efficace. Configurando BitLocker per richiedere un TPM con un PIN (o TPM più una chiave di avvio USB), anche se un attaccante riavviasse il dispositivo in WinRE, il drive non si sbloccherebbe senza il PIN .
2. Applicare controlli di whitelisting delle applicazioni. Soluzioni come ThreatLocker possono essere configurate per bloccare l'esecuzione di binari, script e file di installazione XML non autorizzati nell'ambiente di ripristino, interrompendo la catena di esecuzione dell'attacco .
3. Rafforzare la sicurezza fisica per i dispositivi ad alto rischio. Tratta qualsiasi dispositivo che abbia mai eseguito una scansione offline di Defender come se avesse una vulnerabilità permanente. Rafforza i controlli di accesso fisico e monitora eventuali manipolazioni non autorizzate fino a quando non sarà disponibile una patch .
4. Eseguire un audit dell'ambiente. Identifica quali macchine hanno eseguito una scansione offline. Senza quel prerequisito, l'exploit non può essere messo in atto, quindi identificare quei dispositivi aiuta a prioritizzare le mitigazioni immediate.

La comunità della sicurezza sta trattando GreatXML come un exploit tecnicamente plausibile e disponibile pubblicamente, con una validazione esterna incompleta . Per i team di difesa, ciò significa che l'ipotesi più sicura è che ogni sistema idoneo sia sfruttabile fino a prova contraria.