Yang membimbangkan, serangan itu tidak memerlukan log masuk, kata laluan pengguna atau kunci pemulihan. Namun, penyerang tetap memerlukan akses fizikal kepada komputer untuk seketika. Pada masa penerbitan, GreatXML masih belum mempunyai tampalan rasmi atau pengenalan CVE .

Penyelidik tersebut menggambarkan penemuan GreatXML sebagai “penemuan tidak sengaja” yang mengambil masa kira-kira empat jam untuk dikenal pasti . Dakwaan teknikal itu belum disahkan secara rasmi oleh Microsoft dan penilaian luaran masih terhad, tetapi pasukan keselamatan wajar menganggap sistem yang memenuhi syaratnya sebagai berisiko .

Bagaimana GreatXML memintas BitLocker

Masalah ini berpunca daripada hubungan kepercayaan antara BitLocker dan persekitaran pemulihan Windows. WinRE ialah ruang khas yang digunakan Windows untuk membaiki sistem, termasuk ketika Microsoft Defender Offline Scan dijalankan. Dalam keadaan tertentu, BitLocker mempercayai persekitaran ini untuk membuka volum yang disulitkan supaya proses pemulihan dapat diteruskan.

Rantaian serangan yang dilaporkan adalah seperti berikut:

1. Syarat awal: Microsoft Defender Offline Scan mesti pernah dimulakan sekurang-kurangnya sekali pada peranti sasaran. Proses itu meninggalkan artifak yang sah pada partition pemulihan, termasuk fail konfigurasi berasaskan XML dan folder Recovery .
2. Fail berniat jahat diletakkan: Dengan akses fizikal singkat, penyerang menyalin fail XML yang direka khas serta folder Recovery yang diubah suai ke partition pemulihan .
3. Komputer dimulakan semula: Peranti kemudiannya dibut ke Windows Recovery Environment. Oleh sebab WinRE dan artifak berkaitan aliran kerja Defender Offline Scan dianggap sumber yang dipercayai, BitLocker boleh melepaskan kunci volum tanpa meminta kata laluan, PIN atau kunci pemulihan .
4. Akses SYSTEM diperoleh: Fail XML tersebut diproses secara automatik ketika permulaan dan mencetuskan command prompt dengan keistimewaan NT AUTHORITY\\SYSTEM. Dari situ, penyerang boleh membaca, menyalin atau mengubah data pada pemacu yang sebelum ini disulitkan .

Hive Security menyifatkan keadaan itu sebagai fail yang “melakukan tepat seperti yang direka — cuma di tangan yang salah, pada masa yang salah, dalam satu-satunya persekitaran yang dipercayai BitLocker untuk tidak mengganggu kuncinya” .

Siapa yang terdedah?

Profil peranti yang terdedah agak biasa dalam persekitaran perusahaan: komputer Windows yang menggunakan BitLocker dalam mod TPM sahaja, dan pernah menjalankan Microsoft Defender Offline Scan .

TPM, atau Trusted Platform Module, ialah cip keselamatan yang menyimpan dan mengesahkan bahan kriptografi. Dalam mod TPM sahaja, kunci penyulitan boleh dilepaskan secara automatik ketika proses but. Itulah sebabnya GreatXML boleh berfungsi apabila peranti dipaksa masuk ke WinRE yang dipercayai.

Laptop, komputer kerja mudah alih dan peranti yang boleh dicuri atau diakses sementara menjadi sasaran paling jelas. Pelayan juga boleh terjejas dalam keadaan tertentu, walaupun keperluan akses fizikal biasanya menjadikannya sasaran yang kurang mudah berbanding peranti pengguna.

GreatXML dalam kempen zero-day Nightmare Eclipse

GreatXML bukan pendedahan terpencil. Ia merupakan zero-day ketujuh yang dikaitkan dengan Nightmare Eclipse sejak April 2026, ketika penyelidik itu terlibat dalam pertikaian terbuka dengan Microsoft mengenai proses pengendalian kerentanan . Beberapa pendedahan turut disertakan kod atau bukti konsep yang boleh berfungsi, amalan yang dikritik Microsoft kerana mendedahkan pelanggan kepada risiko yang tidak perlu .

BlueHammer ialah kelemahan peningkatan keistimewaan tempatan dalam Windows Defender dengan skor CVSS 7.8 . RedSun dan UnDefend pula menyasarkan mekanisme pemulangan fail awan serta kemas kini tandatangan Defender . YellowKey merupakan bypass BitLocker terdahulu, manakala GreenPlasma memberikan peningkatan keistimewaan melalui CTFMON .

RoguePlanet, yang didedahkan sehari sebelum GreatXML, memanfaatkan keadaan perlumbaan time-of-check to time-of-use (TOCTOU) dalam Microsoft Defender untuk mendapatkan keistimewaan SYSTEM pada sistem yang telah dikemas kini sepenuhnya .

Apa yang diperbaiki dalam Patch Tuesday Jun?

Kemas kini Patch Tuesday Microsoft pada 9 Jun 2026 membaiki lebih 200 kelemahan, termasuk enam zero-day . Dalam siri pendedahan Nightmare Eclipse, dua isu telah ditangani:

• GreenPlasma (CVE-2026-45586) — ditampal .
• YellowKey (CVE-2026-50507) — ditampal .

GreatXML dan RoguePlanet tidak termasuk dalam kemas kini tersebut. Berdasarkan laporan yang tersedia, kedua-duanya masih belum mempunyai tampalan rasmi, manakala GreatXML juga belum diberikan nombor CVE .

Langkah mitigasi sementara

Tiada tampalan rasmi untuk GreatXML pada masa ini. Organisasi tidak sepatutnya menunggu tanpa kawalan tambahan, khususnya jika mereka mengurus laptop pekerja atau peranti yang kerap dibawa keluar dari premis .

1. Tukar daripada TPM sahaja kepada TPM+PIN. Ini ialah langkah konfigurasi paling berkesan. BitLocker boleh ditetapkan untuk memerlukan TPM bersama PIN, atau TPM bersama kunci permulaan USB. Dengan cara ini, but semula ke WinRE sahaja tidak mencukupi untuk membuka pemacu tanpa PIN atau kunci tambahan .
2. Gunakan application allowlisting. Kawalan seperti ThreatLocker boleh dikonfigurasi untuk menyekat binari, skrip dan fail persediaan berasaskan XML yang tidak dibenarkan daripada berjalan dalam persekitaran pemulihan .
3. Perketat keselamatan fizikal. Kenal pasti peranti yang pernah menjalankan Defender Offline Scan dan anggap ia mempunyai risiko berterusan sehingga pembaikan rasmi tersedia. Hadkan akses tidak sah dan pantau sebarang pengendalian luar biasa .
4. Audit persekitaran IT. Tentukan komputer mana yang pernah menjalankan imbasan luar talian. Tanpa prasyarat itu, GreatXML tidak boleh disediakan dengan cara yang dilaporkan, jadi senarai ini membantu pasukan IT mengutamakan tindakan pembaikan.

Kesimpulannya, BitLocker masih menyediakan penyulitan data yang penting, tetapi GreatXML menunjukkan bahawa persekitaran pemulihan yang dipercayai boleh menjadi titik lemah. Bagi peranti yang memenuhi syarat serangan, langkah paling selamat buat masa ini ialah menganggapnya boleh dieksploitasi, mengutamakan TPM+PIN dan mengukuhkan kawalan akses fizikal sementara menunggu tindakan Microsoft.

Yang membimbangkan, serangan itu tidak memerlukan log masuk, kata laluan pengguna atau kunci pemulihan. Namun, penyerang tetap memerlukan akses fizikal kepada komputer untuk seketika. Pada masa penerbitan, GreatXML masih belum mempunyai tampalan rasmi atau pengenalan CVE .

Penyelidik tersebut menggambarkan penemuan GreatXML sebagai “penemuan tidak sengaja” yang mengambil masa kira-kira empat jam untuk dikenal pasti . Dakwaan teknikal itu belum disahkan secara rasmi oleh Microsoft dan penilaian luaran masih terhad, tetapi pasukan keselamatan wajar menganggap sistem yang memenuhi syaratnya sebagai berisiko .

Bagaimana GreatXML memintas BitLocker

Masalah ini berpunca daripada hubungan kepercayaan antara BitLocker dan persekitaran pemulihan Windows. WinRE ialah ruang khas yang digunakan Windows untuk membaiki sistem, termasuk ketika Microsoft Defender Offline Scan dijalankan. Dalam keadaan tertentu, BitLocker mempercayai persekitaran ini untuk membuka volum yang disulitkan supaya proses pemulihan dapat diteruskan.

Rantaian serangan yang dilaporkan adalah seperti berikut:

1. Syarat awal: Microsoft Defender Offline Scan mesti pernah dimulakan sekurang-kurangnya sekali pada peranti sasaran. Proses itu meninggalkan artifak yang sah pada partition pemulihan, termasuk fail konfigurasi berasaskan XML dan folder Recovery .
2. Fail berniat jahat diletakkan: Dengan akses fizikal singkat, penyerang menyalin fail XML yang direka khas serta folder Recovery yang diubah suai ke partition pemulihan .
3. Komputer dimulakan semula: Peranti kemudiannya dibut ke Windows Recovery Environment. Oleh sebab WinRE dan artifak berkaitan aliran kerja Defender Offline Scan dianggap sumber yang dipercayai, BitLocker boleh melepaskan kunci volum tanpa meminta kata laluan, PIN atau kunci pemulihan .
4. Akses SYSTEM diperoleh: Fail XML tersebut diproses secara automatik ketika permulaan dan mencetuskan command prompt dengan keistimewaan NT AUTHORITY\\SYSTEM. Dari situ, penyerang boleh membaca, menyalin atau mengubah data pada pemacu yang sebelum ini disulitkan .

Hive Security menyifatkan keadaan itu sebagai fail yang “melakukan tepat seperti yang direka — cuma di tangan yang salah, pada masa yang salah, dalam satu-satunya persekitaran yang dipercayai BitLocker untuk tidak mengganggu kuncinya” .

Siapa yang terdedah?

Profil peranti yang terdedah agak biasa dalam persekitaran perusahaan: komputer Windows yang menggunakan BitLocker dalam mod TPM sahaja, dan pernah menjalankan Microsoft Defender Offline Scan .

TPM, atau Trusted Platform Module, ialah cip keselamatan yang menyimpan dan mengesahkan bahan kriptografi. Dalam mod TPM sahaja, kunci penyulitan boleh dilepaskan secara automatik ketika proses but. Itulah sebabnya GreatXML boleh berfungsi apabila peranti dipaksa masuk ke WinRE yang dipercayai.

Laptop, komputer kerja mudah alih dan peranti yang boleh dicuri atau diakses sementara menjadi sasaran paling jelas. Pelayan juga boleh terjejas dalam keadaan tertentu, walaupun keperluan akses fizikal biasanya menjadikannya sasaran yang kurang mudah berbanding peranti pengguna.

GreatXML dalam kempen zero-day Nightmare Eclipse

GreatXML bukan pendedahan terpencil. Ia merupakan zero-day ketujuh yang dikaitkan dengan Nightmare Eclipse sejak April 2026, ketika penyelidik itu terlibat dalam pertikaian terbuka dengan Microsoft mengenai proses pengendalian kerentanan . Beberapa pendedahan turut disertakan kod atau bukti konsep yang boleh berfungsi, amalan yang dikritik Microsoft kerana mendedahkan pelanggan kepada risiko yang tidak perlu .

BlueHammer ialah kelemahan peningkatan keistimewaan tempatan dalam Windows Defender dengan skor CVSS 7.8 . RedSun dan UnDefend pula menyasarkan mekanisme pemulangan fail awan serta kemas kini tandatangan Defender . YellowKey merupakan bypass BitLocker terdahulu, manakala GreenPlasma memberikan peningkatan keistimewaan melalui CTFMON .

RoguePlanet, yang didedahkan sehari sebelum GreatXML, memanfaatkan keadaan perlumbaan time-of-check to time-of-use (TOCTOU) dalam Microsoft Defender untuk mendapatkan keistimewaan SYSTEM pada sistem yang telah dikemas kini sepenuhnya .

Apa yang diperbaiki dalam Patch Tuesday Jun?

Kemas kini Patch Tuesday Microsoft pada 9 Jun 2026 membaiki lebih 200 kelemahan, termasuk enam zero-day . Dalam siri pendedahan Nightmare Eclipse, dua isu telah ditangani:

• GreenPlasma (CVE-2026-45586) — ditampal .
• YellowKey (CVE-2026-50507) — ditampal .

GreatXML dan RoguePlanet tidak termasuk dalam kemas kini tersebut. Berdasarkan laporan yang tersedia, kedua-duanya masih belum mempunyai tampalan rasmi, manakala GreatXML juga belum diberikan nombor CVE .

Langkah mitigasi sementara

Tiada tampalan rasmi untuk GreatXML pada masa ini. Organisasi tidak sepatutnya menunggu tanpa kawalan tambahan, khususnya jika mereka mengurus laptop pekerja atau peranti yang kerap dibawa keluar dari premis .

1. Tukar daripada TPM sahaja kepada TPM+PIN. Ini ialah langkah konfigurasi paling berkesan. BitLocker boleh ditetapkan untuk memerlukan TPM bersama PIN, atau TPM bersama kunci permulaan USB. Dengan cara ini, but semula ke WinRE sahaja tidak mencukupi untuk membuka pemacu tanpa PIN atau kunci tambahan .
2. Gunakan application allowlisting. Kawalan seperti ThreatLocker boleh dikonfigurasi untuk menyekat binari, skrip dan fail persediaan berasaskan XML yang tidak dibenarkan daripada berjalan dalam persekitaran pemulihan .
3. Perketat keselamatan fizikal. Kenal pasti peranti yang pernah menjalankan Defender Offline Scan dan anggap ia mempunyai risiko berterusan sehingga pembaikan rasmi tersedia. Hadkan akses tidak sah dan pantau sebarang pengendalian luar biasa .
4. Audit persekitaran IT. Tentukan komputer mana yang pernah menjalankan imbasan luar talian. Tanpa prasyarat itu, GreatXML tidak boleh disediakan dengan cara yang dilaporkan, jadi senarai ini membantu pasukan IT mengutamakan tindakan pembaikan.

Kesimpulannya, BitLocker masih menyediakan penyulitan data yang penting, tetapi GreatXML menunjukkan bahawa persekitaran pemulihan yang dipercayai boleh menjadi titik lemah. Bagi peranti yang memenuhi syarat serangan, langkah paling selamat buat masa ini ialah menganggapnya boleh dieksploitasi, mengutamakan TPM+PIN dan mengukuhkan kawalan akses fizikal sementara menunggu tindakan Microsoft.