De aanval vereist geen wachtwoord of andere inloggegevens, maar wel kortstondige fysieke toegang tot het apparaat. Bovendien was er bij publicatie nog geen officiële patch en was er geen CVE-nummer aan de kwetsbaarheid toegekend . De onderzoeker omschreef GreatXML als een ‘toevallige ontdekking’ waarvoor slechts vier uur onderzoek nodig was .

Hoe GreatXML BitLocker omzeilt

BitLocker is ontworpen om gegevens op een schijf te beschermen, maar Windows moet een versleuteld volume soms automatisch kunnen ontgrendelen voor herstelwerkzaamheden. Daarvoor vertrouwt het systeem op WinRE, dezelfde herstelomgeving die wordt gebruikt door Microsoft Defender Offline Scan.

GreatXML maakt misbruik van die vertrouwensrelatie. De aanval verloopt in grote lijnen als volgt:

1. Voorwaarde op het apparaat: Microsoft Defender Offline Scan moet minstens één keer zijn gestart. Daardoor blijven legitieme bestanden en mappen achter op de herstelpartitie, waaronder een XML-configuratiebestand en een Recovery-map .
2. Bestanden plaatsen: Met kortdurende fysieke toegang kopieert de aanvaller een speciaal samengesteld XML-bestand en een aangepaste Recovery-map naar de herstelpartitie .
3. Opstarten in WinRE: De computer wordt opnieuw opgestart in Windows Recovery Environment. Omdat WinRE en de bijbehorende configuratie afkomstig lijken uit een vertrouwde herstelworkflow, geeft BitLocker de sleutel vrij zonder om een wachtwoord, pincode of herstelsleutel te vragen .
4. SYSTEM-toegang: Het gemanipuleerde XML-bestand wordt tijdens het opstarten verwerkt en start een opdrachtprompt met NT AUTHORITY\\SYSTEM-rechten. Vanuit die omgeving kan een aanvaller bestanden op de versleutelde schijf lezen, kopiëren of wijzigen .

Hive Security vat het risico kernachtig samen: het bestand ‘deed precies wat het moest doen — alleen in verkeerde handen, op het verkeerde moment, binnen de ene omgeving die BitLocker vertrouwt om de sleutels met rust te laten’ .

Wie loopt risico?

Volgens de beschikbare technische beschrijvingen gaat het vooral om Windows-apparaten met BitLocker in TPM-only-modus, waarop Defender Offline Scan eerder is uitgevoerd . In deze configuratie geeft de Trusted Platform Module (TPM) de versleutelingssleutel automatisch vrij tijdens het opstarten.

Daardoor hoeft een aanvaller geen gebruikerswachtwoord of BitLocker-herstelsleutel te kennen. Fysieke toegang tot een laptop of werkstation en één herstart kunnen onder de beschreven omstandigheden volstaan . Vooral laptops, mobiele werkstations en andere apparaten die tijdelijk onbeheerd of gestolen kunnen worden, zijn daarom relevant. Ook servers kunnen worden geraakt, al maakt de vereiste fysieke toegang ze in veel scenario’s minder voor de hand liggende doelwitten.

De kwetsbaarheid treft niet automatisch elk BitLocker-apparaat: het uitvoeren van Defender Offline Scan is een noodzakelijke voorwaarde voor de beschreven aanval. Organisaties moeten daarom eerst in kaart brengen welke machines die scan ooit hebben uitgevoerd.

GreatXML past in een bredere reeks Windows-lekken

GreatXML staat niet op zichzelf. Nightmare Eclipse heeft sinds april 2026 meerdere zero-days voor Windows openbaar gemaakt, inclusief werkende proof-of-concepts. Dat gebeurt tegen de achtergrond van een maandenlang publiek conflict met Microsoft over de manier waarop kwetsbaarheden worden gemeld en afgehandeld . Microsoft heeft gewaarschuwd dat het publiceren van details zonder voorafgaande gecoördineerde melding klanten ‘onnodig risico’ oplevert .

BlueHammer was een lokale privilege-escalatiekwetsbaarheid in Windows Defender met een CVSS-score van 7,8 . RedSun en UnDefend hadden respectievelijk betrekking op Defender-mechanismen voor het terugdraaien van cloudbestanden en het bijwerken van handtekeningen . YellowKey was een eerdere BitLocker-omzeiling, terwijl GreenPlasma misbruik maakte van CTFMON om SYSTEM-rechten te verkrijgen .

RoguePlanet, dat een dag voor GreatXML werd gepubliceerd, maakt volgens de beschrijving misbruik van een zogeheten TOCTOU-raceconditie in Microsoft Defender. Daarmee kan op volledig bijgewerkte systemen lokale escalatie naar SYSTEM worden bereikt .

Wat bracht Patch Tuesday van juni wel en niet?

Microsofts Patch Tuesday van 9 juni 2026 verholp meer dan 200 kwetsbaarheden, waaronder zes zero-days . Van de bekende Nightmare Eclipse-publicaties werden GreenPlasma (CVE-2026-45586) en YellowKey (CVE-2026-50507) aangepakt .

RoguePlanet en GreatXML maakten geen deel uit van die update. Op basis van de beschikbare berichtgeving was er voor geen van beide op dat moment een officiële patch; voor GreatXML was bovendien nog geen CVE toegekend . Hive Security benadrukt dat het bij GreatXML gaat om een publiek beschreven, technisch plausibel proof-of-concept waarvan de externe validatie nog onvolledig is .

Dit kunnen organisaties nu doen

Zolang Microsoft geen oplossing beschikbaar stelt, zijn aanvullende beveiligingsmaatregelen nodig .

1. Gebruik TPM+PIN in plaats van TPM-only. Dit is de belangrijkste configuratiewijziging. Met TPM+PIN — of TPM in combinatie met een USB-opstartsleutel — wordt de schijf niet automatisch ontgrendeld wanneer een aanvaller het apparaat in WinRE start. Zonder de pincode of sleutel blijft de inhoud ontoegankelijk .
2. Pas allowlisting toe. Applicatie-allowlisting, bijvoorbeeld met oplossingen zoals ThreatLocker, kan worden ingezet om ongeautoriseerde programma’s, scripts en XML-gebaseerde installatiebestanden in de herstelomgeving tegen te houden .
3. Versterk de fysieke beveiliging. Behandel apparaten waarop ooit Defender Offline Scan is uitgevoerd als potentieel kwetsbaar totdat een officiële oplossing beschikbaar is. Beperk fysieke toegang en let extra op apparaten die tijdelijk buiten het zicht van de organisatie zijn .
4. Voer een inventarisatie uit. Bepaal welke machines de offline scan hebben uitgevoerd. Die apparaten hebben prioriteit bij het invoeren van TPM+PIN, allowlisting en aanvullende fysieke beveiligingsmaatregelen.

De kern van het risico is niet dat BitLocker zelf eenvoudig met een wachtwoord kan worden gekraakt. Het probleem is dat GreatXML probeert binnen te komen via een herstelomgeving die Windows al vertrouwt. Voor organisaties is het daarom verstandig om elk apparaat dat aan de voorwaarden voldoet als potentieel exploiteerbaar te behandelen totdat Microsoft een officiële patch of aanvullende instructies publiceert.

De aanval vereist geen wachtwoord of andere inloggegevens, maar wel kortstondige fysieke toegang tot het apparaat. Bovendien was er bij publicatie nog geen officiële patch en was er geen CVE-nummer aan de kwetsbaarheid toegekend . De onderzoeker omschreef GreatXML als een ‘toevallige ontdekking’ waarvoor slechts vier uur onderzoek nodig was .

Hoe GreatXML BitLocker omzeilt

BitLocker is ontworpen om gegevens op een schijf te beschermen, maar Windows moet een versleuteld volume soms automatisch kunnen ontgrendelen voor herstelwerkzaamheden. Daarvoor vertrouwt het systeem op WinRE, dezelfde herstelomgeving die wordt gebruikt door Microsoft Defender Offline Scan.

GreatXML maakt misbruik van die vertrouwensrelatie. De aanval verloopt in grote lijnen als volgt:

1. Voorwaarde op het apparaat: Microsoft Defender Offline Scan moet minstens één keer zijn gestart. Daardoor blijven legitieme bestanden en mappen achter op de herstelpartitie, waaronder een XML-configuratiebestand en een Recovery-map .
2. Bestanden plaatsen: Met kortdurende fysieke toegang kopieert de aanvaller een speciaal samengesteld XML-bestand en een aangepaste Recovery-map naar de herstelpartitie .
3. Opstarten in WinRE: De computer wordt opnieuw opgestart in Windows Recovery Environment. Omdat WinRE en de bijbehorende configuratie afkomstig lijken uit een vertrouwde herstelworkflow, geeft BitLocker de sleutel vrij zonder om een wachtwoord, pincode of herstelsleutel te vragen .
4. SYSTEM-toegang: Het gemanipuleerde XML-bestand wordt tijdens het opstarten verwerkt en start een opdrachtprompt met NT AUTHORITY\\SYSTEM-rechten. Vanuit die omgeving kan een aanvaller bestanden op de versleutelde schijf lezen, kopiëren of wijzigen .

Hive Security vat het risico kernachtig samen: het bestand ‘deed precies wat het moest doen — alleen in verkeerde handen, op het verkeerde moment, binnen de ene omgeving die BitLocker vertrouwt om de sleutels met rust te laten’ .

Wie loopt risico?

Volgens de beschikbare technische beschrijvingen gaat het vooral om Windows-apparaten met BitLocker in TPM-only-modus, waarop Defender Offline Scan eerder is uitgevoerd . In deze configuratie geeft de Trusted Platform Module (TPM) de versleutelingssleutel automatisch vrij tijdens het opstarten.

Daardoor hoeft een aanvaller geen gebruikerswachtwoord of BitLocker-herstelsleutel te kennen. Fysieke toegang tot een laptop of werkstation en één herstart kunnen onder de beschreven omstandigheden volstaan . Vooral laptops, mobiele werkstations en andere apparaten die tijdelijk onbeheerd of gestolen kunnen worden, zijn daarom relevant. Ook servers kunnen worden geraakt, al maakt de vereiste fysieke toegang ze in veel scenario’s minder voor de hand liggende doelwitten.

De kwetsbaarheid treft niet automatisch elk BitLocker-apparaat: het uitvoeren van Defender Offline Scan is een noodzakelijke voorwaarde voor de beschreven aanval. Organisaties moeten daarom eerst in kaart brengen welke machines die scan ooit hebben uitgevoerd.

GreatXML past in een bredere reeks Windows-lekken

GreatXML staat niet op zichzelf. Nightmare Eclipse heeft sinds april 2026 meerdere zero-days voor Windows openbaar gemaakt, inclusief werkende proof-of-concepts. Dat gebeurt tegen de achtergrond van een maandenlang publiek conflict met Microsoft over de manier waarop kwetsbaarheden worden gemeld en afgehandeld . Microsoft heeft gewaarschuwd dat het publiceren van details zonder voorafgaande gecoördineerde melding klanten ‘onnodig risico’ oplevert .

BlueHammer was een lokale privilege-escalatiekwetsbaarheid in Windows Defender met een CVSS-score van 7,8 . RedSun en UnDefend hadden respectievelijk betrekking op Defender-mechanismen voor het terugdraaien van cloudbestanden en het bijwerken van handtekeningen . YellowKey was een eerdere BitLocker-omzeiling, terwijl GreenPlasma misbruik maakte van CTFMON om SYSTEM-rechten te verkrijgen .

RoguePlanet, dat een dag voor GreatXML werd gepubliceerd, maakt volgens de beschrijving misbruik van een zogeheten TOCTOU-raceconditie in Microsoft Defender. Daarmee kan op volledig bijgewerkte systemen lokale escalatie naar SYSTEM worden bereikt .

Wat bracht Patch Tuesday van juni wel en niet?

Microsofts Patch Tuesday van 9 juni 2026 verholp meer dan 200 kwetsbaarheden, waaronder zes zero-days . Van de bekende Nightmare Eclipse-publicaties werden GreenPlasma (CVE-2026-45586) en YellowKey (CVE-2026-50507) aangepakt .

RoguePlanet en GreatXML maakten geen deel uit van die update. Op basis van de beschikbare berichtgeving was er voor geen van beide op dat moment een officiële patch; voor GreatXML was bovendien nog geen CVE toegekend . Hive Security benadrukt dat het bij GreatXML gaat om een publiek beschreven, technisch plausibel proof-of-concept waarvan de externe validatie nog onvolledig is .

Dit kunnen organisaties nu doen

Zolang Microsoft geen oplossing beschikbaar stelt, zijn aanvullende beveiligingsmaatregelen nodig .

1. Gebruik TPM+PIN in plaats van TPM-only. Dit is de belangrijkste configuratiewijziging. Met TPM+PIN — of TPM in combinatie met een USB-opstartsleutel — wordt de schijf niet automatisch ontgrendeld wanneer een aanvaller het apparaat in WinRE start. Zonder de pincode of sleutel blijft de inhoud ontoegankelijk .
2. Pas allowlisting toe. Applicatie-allowlisting, bijvoorbeeld met oplossingen zoals ThreatLocker, kan worden ingezet om ongeautoriseerde programma’s, scripts en XML-gebaseerde installatiebestanden in de herstelomgeving tegen te houden .
3. Versterk de fysieke beveiliging. Behandel apparaten waarop ooit Defender Offline Scan is uitgevoerd als potentieel kwetsbaar totdat een officiële oplossing beschikbaar is. Beperk fysieke toegang en let extra op apparaten die tijdelijk buiten het zicht van de organisatie zijn .
4. Voer een inventarisatie uit. Bepaal welke machines de offline scan hebben uitgevoerd. Die apparaten hebben prioriteit bij het invoeren van TPM+PIN, allowlisting en aanvullende fysieke beveiligingsmaatregelen.

De kern van het risico is niet dat BitLocker zelf eenvoudig met een wachtwoord kan worden gekraakt. Het probleem is dat GreatXML probeert binnen te komen via een herstelomgeving die Windows al vertrouwt. Voor organisaties is het daarom verstandig om elk apparaat dat aan de voorwaarden voldoet als potentieel exploiteerbaar te behandelen totdat Microsoft een officiële patch of aanvullende instructies publiceert.