Angrepet krever ikke innlogging eller brukerens passord. Men det krever kortvarig fysisk tilgang til maskinen og gjelder ifølge beskrivelsene bare under bestemte forutsetninger. Det finnes foreløpig ingen offisiell oppdatering eller CVE-registrering for GreatXML . Samtidig understreker sikkerhetsmiljøet at dette er et offentlig tilgjengelig og teknisk plausibelt konseptbevis, selv om den eksterne valideringen fortsatt er begrenset .

Slik skal GreatXML fungere

BitLocker er laget for å beskytte data når en PC blir mistet eller stjålet. Windows må likevel kunne låse opp disken i et betrodd gjenopprettingsmiljø for å utføre enkelte reparasjoner. Det er denne tilliten til WinRE GreatXML forsøker å misbruke.

Angrepsforløpet beskrives slik:

1. En forutsetning må være oppfylt. Microsoft Defender Offline Scan må ha blitt startet minst én gang på maskinen. Dette kan etterlate legitime filer og mapper, blant annet en XML-basert konfigurasjonsfil og en Recovery-mappe, på gjenopprettingspartisjonen .
2. Filer plasseres på gjenopprettingspartisjonen. Med kortvarig fysisk tilgang kopierer angriperen en spesialtilpasset XML-fil og en endret Recovery-mappe til partisjonen .
3. Maskinen startes på nytt i WinRE. Recovery-miljøet og filene knyttes til den betrodde arbeidsflyten for Defender Offline Scan. Ifølge beskrivelsene kan BitLocker derfor låse opp volumet uten å be om passord, PIN-kode eller gjenopprettingsnøkkel .
4. En SYSTEM-kommandolinje startes. XML-filen behandles automatisk ved oppstart og kan utløse en kommandolinje som kjører som NT AUTHORITY\\SYSTEM. Derfra skal angriperen kunne lese, kopiere og endre filer på den krypterte disken .

Hive Security oppsummerer problemet slik: Filen «gjorde nøyaktig det den var laget for – bare i feil hender, på feil tidspunkt, i det ene miljøet BitLocker stoler på» .

Hvem kan være utsatt?

Den mest utsatte profilen er en Windows-enhet med BitLocker i TPM-only-modus, der Microsoft Defender Offline Scan har blitt kjørt eller startet minst én gang .

TPM, eller Trusted Platform Module, er en sikkerhetsbrikke som kan oppbevare og frigi krypteringsnøkler under oppstart. I TPM-only-modus kan nøkkelen frigis automatisk når maskinen starter på riktig måte. Det er nettopp denne automatiseringen som gjør at en angriper ifølge forskerens konseptbevis kan utnytte WinRE uten å kjenne brukerens passord eller ha gjenopprettingsnøkkelen .

Bærbare PC-er og mobile arbeidsstasjoner er derfor de mest nærliggende målene: De kan stjeles, eller noen kan få fysisk tilgang til dem i kort tid. Servere kan også være berørt, men kravet om fysisk tilgang gjør angrepet mindre relevant i mange servermiljøer.

En del av en større konflikt med Microsoft

GreatXML er den sjuende Windows-sårbarheten Nightmare Eclipse har publisert siden våren 2026, ifølge omtalen av kampanjen . Forskeren har publisert flere av svakhetene sammen med fungerende konseptbevis, noe Microsoft har kritisert som en praksis som utsetter kundene for «unødvendig risiko» .

Blant de tidligere omtalte navnene er:

BlueHammer var en lokal rettighetseskalering i Windows Defender med CVSS-score 7,8 . RedSun og UnDefend rettet seg mot henholdsvis Defenders mekanisme for tilbakerulling av filer fra skyen og signaturoppdateringer . YellowKey var et tidligere BitLocker-angrep, mens GreenPlasma utnyttet CTFMON for å oppnå SYSTEM-tilgang .

RoguePlanet, som ble publisert dagen før GreatXML, skal utnytte en såkalt TOCTOU-kappløpssituasjon i Microsoft Defender for å oppnå SYSTEM-rettigheter – også på fullt oppdaterte Windows 10- og Windows 11-systemer .

Junioppdateringen løste ikke GreatXML

Microsofts «Patch Tuesday» 9. juni 2026 rettet mer enn 200 sårbarheter, inkludert seks null­dager . To av Nightmare Eclipse-sårbarhetene ble inkludert i oppdateringen:

• GreenPlasma (CVE-2026-45586) ble rettet .
• YellowKey (CVE-2026-50507) ble rettet .

GreatXML og RoguePlanet var ikke med i oppdateringen. Ifølge den tilgjengelige omtalen hadde ingen av dem fått en offisiell feilretting eller CVE-nummer på publiseringstidspunktet .

Hva bør virksomheter gjøre nå?

Det finnes ingen offisiell sikkerhetsoppdatering for GreatXML. Virksomheter bør derfor bruke kompenserende tiltak i stedet for å vente på en Microsoft-fiks .

1. Bytt fra TPM-only til TPM+PIN. Dette er det viktigste konfigurasjonstiltaket. BitLocker kan settes opp slik at både TPM og en PIN-kode kreves, eventuelt TPM sammen med en USB-oppstartsnøkkel. Da skal ikke disken kunne låses opp bare ved å starte maskinen i WinRE .
2. Bruk allowlisting. Applikasjonskontroller, som løsninger fra ThreatLocker, kan konfigureres til å blokkere uautoriserte binærfiler, skript og XML-baserte oppsettfiler fra å kjøre i gjenopprettingsmiljøet .
3. Prioriter fysisk sikring. Behandle enheter som har brukt Defender Offline Scan som potensielt utsatte inntil mer er avklart eller en oppdatering foreligger. Begrens uautorisert håndtering og følg ekstra godt med på bærbare enheter .
4. Kartlegg hvilke maskiner som har kjørt Offline Scan. Forutsetningen gjør det mulig å identifisere og prioritere berørte enheter. Uten dette forarbeidet skal angrepet ikke kunne klargjøres på samme måte .

For sikkerhetsteam er den praktiske konklusjonen enkel: Maskiner som oppfyller forutsetningene bør behandles som utsatte inntil de er beskyttet med kompenserende kontroller eller Microsoft publiserer en formell løsning.

Angrepet krever ikke innlogging eller brukerens passord. Men det krever kortvarig fysisk tilgang til maskinen og gjelder ifølge beskrivelsene bare under bestemte forutsetninger. Det finnes foreløpig ingen offisiell oppdatering eller CVE-registrering for GreatXML . Samtidig understreker sikkerhetsmiljøet at dette er et offentlig tilgjengelig og teknisk plausibelt konseptbevis, selv om den eksterne valideringen fortsatt er begrenset .

Slik skal GreatXML fungere

BitLocker er laget for å beskytte data når en PC blir mistet eller stjålet. Windows må likevel kunne låse opp disken i et betrodd gjenopprettingsmiljø for å utføre enkelte reparasjoner. Det er denne tilliten til WinRE GreatXML forsøker å misbruke.

Angrepsforløpet beskrives slik:

1. En forutsetning må være oppfylt. Microsoft Defender Offline Scan må ha blitt startet minst én gang på maskinen. Dette kan etterlate legitime filer og mapper, blant annet en XML-basert konfigurasjonsfil og en Recovery-mappe, på gjenopprettingspartisjonen .
2. Filer plasseres på gjenopprettingspartisjonen. Med kortvarig fysisk tilgang kopierer angriperen en spesialtilpasset XML-fil og en endret Recovery-mappe til partisjonen .
3. Maskinen startes på nytt i WinRE. Recovery-miljøet og filene knyttes til den betrodde arbeidsflyten for Defender Offline Scan. Ifølge beskrivelsene kan BitLocker derfor låse opp volumet uten å be om passord, PIN-kode eller gjenopprettingsnøkkel .
4. En SYSTEM-kommandolinje startes. XML-filen behandles automatisk ved oppstart og kan utløse en kommandolinje som kjører som NT AUTHORITY\\SYSTEM. Derfra skal angriperen kunne lese, kopiere og endre filer på den krypterte disken .

Hive Security oppsummerer problemet slik: Filen «gjorde nøyaktig det den var laget for – bare i feil hender, på feil tidspunkt, i det ene miljøet BitLocker stoler på» .

Hvem kan være utsatt?

Den mest utsatte profilen er en Windows-enhet med BitLocker i TPM-only-modus, der Microsoft Defender Offline Scan har blitt kjørt eller startet minst én gang .

TPM, eller Trusted Platform Module, er en sikkerhetsbrikke som kan oppbevare og frigi krypteringsnøkler under oppstart. I TPM-only-modus kan nøkkelen frigis automatisk når maskinen starter på riktig måte. Det er nettopp denne automatiseringen som gjør at en angriper ifølge forskerens konseptbevis kan utnytte WinRE uten å kjenne brukerens passord eller ha gjenopprettingsnøkkelen .

Bærbare PC-er og mobile arbeidsstasjoner er derfor de mest nærliggende målene: De kan stjeles, eller noen kan få fysisk tilgang til dem i kort tid. Servere kan også være berørt, men kravet om fysisk tilgang gjør angrepet mindre relevant i mange servermiljøer.

En del av en større konflikt med Microsoft

GreatXML er den sjuende Windows-sårbarheten Nightmare Eclipse har publisert siden våren 2026, ifølge omtalen av kampanjen . Forskeren har publisert flere av svakhetene sammen med fungerende konseptbevis, noe Microsoft har kritisert som en praksis som utsetter kundene for «unødvendig risiko» .

Blant de tidligere omtalte navnene er:

BlueHammer var en lokal rettighetseskalering i Windows Defender med CVSS-score 7,8 . RedSun og UnDefend rettet seg mot henholdsvis Defenders mekanisme for tilbakerulling av filer fra skyen og signaturoppdateringer . YellowKey var et tidligere BitLocker-angrep, mens GreenPlasma utnyttet CTFMON for å oppnå SYSTEM-tilgang .

RoguePlanet, som ble publisert dagen før GreatXML, skal utnytte en såkalt TOCTOU-kappløpssituasjon i Microsoft Defender for å oppnå SYSTEM-rettigheter – også på fullt oppdaterte Windows 10- og Windows 11-systemer .

Junioppdateringen løste ikke GreatXML

Microsofts «Patch Tuesday» 9. juni 2026 rettet mer enn 200 sårbarheter, inkludert seks null­dager . To av Nightmare Eclipse-sårbarhetene ble inkludert i oppdateringen:

• GreenPlasma (CVE-2026-45586) ble rettet .
• YellowKey (CVE-2026-50507) ble rettet .

GreatXML og RoguePlanet var ikke med i oppdateringen. Ifølge den tilgjengelige omtalen hadde ingen av dem fått en offisiell feilretting eller CVE-nummer på publiseringstidspunktet .

Hva bør virksomheter gjøre nå?

Det finnes ingen offisiell sikkerhetsoppdatering for GreatXML. Virksomheter bør derfor bruke kompenserende tiltak i stedet for å vente på en Microsoft-fiks .

1. Bytt fra TPM-only til TPM+PIN. Dette er det viktigste konfigurasjonstiltaket. BitLocker kan settes opp slik at både TPM og en PIN-kode kreves, eventuelt TPM sammen med en USB-oppstartsnøkkel. Da skal ikke disken kunne låses opp bare ved å starte maskinen i WinRE .
2. Bruk allowlisting. Applikasjonskontroller, som løsninger fra ThreatLocker, kan konfigureres til å blokkere uautoriserte binærfiler, skript og XML-baserte oppsettfiler fra å kjøre i gjenopprettingsmiljøet .
3. Prioriter fysisk sikring. Behandle enheter som har brukt Defender Offline Scan som potensielt utsatte inntil mer er avklart eller en oppdatering foreligger. Begrens uautorisert håndtering og følg ekstra godt med på bærbare enheter .
4. Kartlegg hvilke maskiner som har kjørt Offline Scan. Forutsetningen gjør det mulig å identifisere og prioritere berørte enheter. Uten dette forarbeidet skal angrepet ikke kunne klargjøres på samme måte .

For sikkerhetsteam er den praktiske konklusjonen enkel: Maskiner som oppfyller forutsetningene bør behandles som utsatte inntil de er beskyttet med kompenserende kontroller eller Microsoft publiserer en formell løsning.