Atak wymaga krótkiego fizycznego dostępu do komputera, ale nie wymaga znajomości hasła użytkownika, kodu PIN ani klucza odzyskiwania. Co ważne, w chwili publikacji GreatXML pozostawał niezałatany i nie miał przypisanego identyfikatora CVE .

Dlaczego GreatXML jest groźny?

BitLocker ma chronić dane zapisane na dysku, jednak Windows ufa środowisku WinRE — specjalnemu trybowi używanemu m.in. do naprawy systemu i skanowania za pomocą Microsoft Defender Offline Scan. To właśnie ta relacja zaufania jest wykorzystywana przez GreatXML.

Według opisu badacza odkrycie było „przypadkowe” i zajęło około czterech godzin pracy . Ryzyko dotyczy urządzeń, na których przynajmniej raz zainicjowano skanowanie Microsoft Defender Offline. Taka operacja pozostawia na partycji odzyskiwania określone artefakty, w tym plik konfiguracyjny XML oraz katalog Recovery .

Jak działa atak?

Mechanizm można opisać w kilku etapach:

1. Warunek wstępny — na urządzeniu musi być wcześniej zainicjowany Microsoft Defender Offline Scan. Pozostawione przez niego elementy na partycji odzyskiwania tworzą punkt wyjścia dla exploita .
2. Zmodyfikowane pliki — przy krótkim dostępie fizycznym napastnik umieszcza na partycji odzyskiwania specjalnie przygotowany plik XML oraz zmodyfikowany katalog Recovery .
3. Uruchomienie WinRE — komputer zostaje ponownie uruchomiony w trybie odzyskiwania. Ponieważ WinRE i powiązane pliki są traktowane jako zaufana część procesu odzyskiwania, BitLocker może udostępnić zaszyfrowany wolumin bez żądania hasła, kodu PIN lub klucza odzyskiwania .
4. Powłoka SYSTEM — spreparowany plik XML jest przetwarzany podczas startu środowiska i może doprowadzić do uruchomienia wiersza poleceń z najwyższymi uprawnieniami systemowymi. W takim scenariuszu napastnik uzyskuje dostęp do plików na zaszyfrowanym dysku .

Hive Security podsumowuje problem obrazowo: plik „robił dokładnie to, do czego został zaprojektowany — tylko w niepowołanych rękach, w niewłaściwym momencie i w jedynym środowisku, któremu BitLocker ufa na tyle, by nie zatrzymywać kluczy” .

Jednocześnie warto zachować właściwą perspektywę. Opis GreatXML jest publicznym twierdzeniem popartym demonstracją proof of concept, ale nie stanowi jeszcze potwierdzonej przez Microsoft luki z numerem CVE. Zewnętrzna weryfikacja pozostaje niepełna .

Kto jest narażony?

Najbardziej zagrożone są komputery z BitLockerem skonfigurowanym w trybie TPM-only, na których wcześniej uruchomiono Microsoft Defender Offline Scan . W tym trybie moduł Trusted Platform Module automatycznie udostępnia klucz podczas rozruchu. Po wymuszeniu startu w zaufanym WinRE może to ułatwić działanie opisanego mechanizmu.

Wymóg fizycznego dostępu sprawia, że szczególne znaczenie ma bezpieczeństwo laptopów, przenośnych stacji roboczych i komputerów pozostawianych poza kontrolą organizacji. Scenariusz przypomina tzw. atak „evil maid”, w którym napastnik manipuluje urządzeniem podczas krótkiej nieobecności właściciela. Serwery również mogą znajdować się w zakresie ryzyka, choć w ich przypadku dostęp fizyczny bywa trudniejszy.

GreatXML na tle kampanii Nightmare Eclipse

GreatXML jest kolejnym elementem serii publicznych ujawnień Nightmare Eclipse dotyczących komponentów Windows. Badacz od miesięcy pozostaje w publicznym sporze z Microsoftem i publikuje exploity lub ich dowody koncepcji, zarzucając firmie problemy z obsługą zgłoszeń bezpieczeństwa . Microsoft krytykował takie ujawnianie informacji bez wcześniejszego skoordynowania, twierdząc, że naraża ono klientów na niepotrzebne ryzyko .

Najważniejsze ujawnienia z 2026 r. przedstawiają się następująco:

BlueHammer był lokalną luką eskalacji uprawnień w Windows Defender z wynikiem CVSS 7,8 . RedSun i UnDefend dotyczyły odpowiednio mechanizmu przywracania plików w chmurze oraz aktualizacji sygnatur Defendera . YellowKey był wcześniejszym obejściem zabezpieczeń BitLockera, a GreenPlasma wykorzystywał proces CTFMON do uzyskania uprawnień SYSTEM .

Opublikowany dzień przed GreatXML exploit RoguePlanet wykorzystuje z kolei warunek wyścigu typu time-of-check-to-time-of-use (TOCTOU) w Microsoft Defenderze i według dostępnych opisów może prowadzić do lokalnej eskalacji uprawnień nawet na w pełni zaktualizowanych systemach .

Co naprawiono w czerwcowym Patch Tuesday?

W ramach aktualizacji z 9 czerwca 2026 r. Microsoft załatał ponad 200 luk, w tym sześć podatności zero-day . Z ujawnień przypisywanych Nightmare Eclipse poprawki objęły:

• GreenPlasma (CVE-2026-45586) ;
• YellowKey (CVE-2026-50507) .

RoguePlanet i GreatXML nie zostały uwzględnione w tej aktualizacji. Według najnowszych dostępnych informacji GreatXML nadal nie ma oficjalnej poprawki ani identyfikatora CVE .

Jak ograniczyć ryzyko przed wydaniem poprawki?

Organizacje nie powinny czekać wyłącznie na aktualizację Microsoftu. Warto wdrożyć zabezpieczenia kompensacyjne:

1. Przejście z TPM-only na TPM+PIN. To najważniejsze zalecane obejście. Wymaganie modułu TPM oraz kodu PIN — albo TPM i klucza USB używanego przy uruchamianiu — oznacza, że sam restart do WinRE nie powinien wystarczyć do odblokowania dysku .
2. Kontrola uruchamianych aplikacji i skryptów. Mechanizmy allowlistingu, takie jak rozwiązania ThreatLocker, mogą ograniczać wykonywanie nieautoryzowanych plików binarnych, skryptów i plików konfiguracyjnych w środowisku odzyskiwania .
3. Wzmocnienie ochrony fizycznej. Urządzenia, na których kiedykolwiek zainicjowano skanowanie offline, należy traktować jako potencjalnie narażone do czasu pojawienia się poprawki. Dotyczy to zwłaszcza laptopów i komputerów przenośnych .
4. Audyt urządzeń. Warto ustalić, na których komputerach uruchamiano Microsoft Defender Offline Scan, aby właściwie ustalić priorytety i objąć najbardziej narażone systemy dodatkowymi kontrolami.

Najbezpieczniejsze podejście dla zespołów IT i bezpieczeństwa polega obecnie na założeniu, że kwalifikujące się urządzenia mogą być podatne, dopóki nie zostanie potwierdzony ich status i wdrożone odpowiednie zabezpieczenia. GreatXML wymaga fizycznego dostępu, ale w przypadku firmowych laptopów nawet krótka utrata kontroli nad urządzeniem może mieć poważne konsekwencje dla poufności danych.

Atak wymaga krótkiego fizycznego dostępu do komputera, ale nie wymaga znajomości hasła użytkownika, kodu PIN ani klucza odzyskiwania. Co ważne, w chwili publikacji GreatXML pozostawał niezałatany i nie miał przypisanego identyfikatora CVE .

Dlaczego GreatXML jest groźny?

BitLocker ma chronić dane zapisane na dysku, jednak Windows ufa środowisku WinRE — specjalnemu trybowi używanemu m.in. do naprawy systemu i skanowania za pomocą Microsoft Defender Offline Scan. To właśnie ta relacja zaufania jest wykorzystywana przez GreatXML.

Według opisu badacza odkrycie było „przypadkowe” i zajęło około czterech godzin pracy . Ryzyko dotyczy urządzeń, na których przynajmniej raz zainicjowano skanowanie Microsoft Defender Offline. Taka operacja pozostawia na partycji odzyskiwania określone artefakty, w tym plik konfiguracyjny XML oraz katalog Recovery .

Jak działa atak?

Mechanizm można opisać w kilku etapach:

1. Warunek wstępny — na urządzeniu musi być wcześniej zainicjowany Microsoft Defender Offline Scan. Pozostawione przez niego elementy na partycji odzyskiwania tworzą punkt wyjścia dla exploita .
2. Zmodyfikowane pliki — przy krótkim dostępie fizycznym napastnik umieszcza na partycji odzyskiwania specjalnie przygotowany plik XML oraz zmodyfikowany katalog Recovery .
3. Uruchomienie WinRE — komputer zostaje ponownie uruchomiony w trybie odzyskiwania. Ponieważ WinRE i powiązane pliki są traktowane jako zaufana część procesu odzyskiwania, BitLocker może udostępnić zaszyfrowany wolumin bez żądania hasła, kodu PIN lub klucza odzyskiwania .
4. Powłoka SYSTEM — spreparowany plik XML jest przetwarzany podczas startu środowiska i może doprowadzić do uruchomienia wiersza poleceń z najwyższymi uprawnieniami systemowymi. W takim scenariuszu napastnik uzyskuje dostęp do plików na zaszyfrowanym dysku .

Hive Security podsumowuje problem obrazowo: plik „robił dokładnie to, do czego został zaprojektowany — tylko w niepowołanych rękach, w niewłaściwym momencie i w jedynym środowisku, któremu BitLocker ufa na tyle, by nie zatrzymywać kluczy” .

Jednocześnie warto zachować właściwą perspektywę. Opis GreatXML jest publicznym twierdzeniem popartym demonstracją proof of concept, ale nie stanowi jeszcze potwierdzonej przez Microsoft luki z numerem CVE. Zewnętrzna weryfikacja pozostaje niepełna .

Kto jest narażony?

Najbardziej zagrożone są komputery z BitLockerem skonfigurowanym w trybie TPM-only, na których wcześniej uruchomiono Microsoft Defender Offline Scan . W tym trybie moduł Trusted Platform Module automatycznie udostępnia klucz podczas rozruchu. Po wymuszeniu startu w zaufanym WinRE może to ułatwić działanie opisanego mechanizmu.

Wymóg fizycznego dostępu sprawia, że szczególne znaczenie ma bezpieczeństwo laptopów, przenośnych stacji roboczych i komputerów pozostawianych poza kontrolą organizacji. Scenariusz przypomina tzw. atak „evil maid”, w którym napastnik manipuluje urządzeniem podczas krótkiej nieobecności właściciela. Serwery również mogą znajdować się w zakresie ryzyka, choć w ich przypadku dostęp fizyczny bywa trudniejszy.

GreatXML na tle kampanii Nightmare Eclipse

GreatXML jest kolejnym elementem serii publicznych ujawnień Nightmare Eclipse dotyczących komponentów Windows. Badacz od miesięcy pozostaje w publicznym sporze z Microsoftem i publikuje exploity lub ich dowody koncepcji, zarzucając firmie problemy z obsługą zgłoszeń bezpieczeństwa . Microsoft krytykował takie ujawnianie informacji bez wcześniejszego skoordynowania, twierdząc, że naraża ono klientów na niepotrzebne ryzyko .

Najważniejsze ujawnienia z 2026 r. przedstawiają się następująco:

BlueHammer był lokalną luką eskalacji uprawnień w Windows Defender z wynikiem CVSS 7,8 . RedSun i UnDefend dotyczyły odpowiednio mechanizmu przywracania plików w chmurze oraz aktualizacji sygnatur Defendera . YellowKey był wcześniejszym obejściem zabezpieczeń BitLockera, a GreenPlasma wykorzystywał proces CTFMON do uzyskania uprawnień SYSTEM .

Opublikowany dzień przed GreatXML exploit RoguePlanet wykorzystuje z kolei warunek wyścigu typu time-of-check-to-time-of-use (TOCTOU) w Microsoft Defenderze i według dostępnych opisów może prowadzić do lokalnej eskalacji uprawnień nawet na w pełni zaktualizowanych systemach .

Co naprawiono w czerwcowym Patch Tuesday?

W ramach aktualizacji z 9 czerwca 2026 r. Microsoft załatał ponad 200 luk, w tym sześć podatności zero-day . Z ujawnień przypisywanych Nightmare Eclipse poprawki objęły:

• GreenPlasma (CVE-2026-45586) ;
• YellowKey (CVE-2026-50507) .

RoguePlanet i GreatXML nie zostały uwzględnione w tej aktualizacji. Według najnowszych dostępnych informacji GreatXML nadal nie ma oficjalnej poprawki ani identyfikatora CVE .

Jak ograniczyć ryzyko przed wydaniem poprawki?

Organizacje nie powinny czekać wyłącznie na aktualizację Microsoftu. Warto wdrożyć zabezpieczenia kompensacyjne:

1. Przejście z TPM-only na TPM+PIN. To najważniejsze zalecane obejście. Wymaganie modułu TPM oraz kodu PIN — albo TPM i klucza USB używanego przy uruchamianiu — oznacza, że sam restart do WinRE nie powinien wystarczyć do odblokowania dysku .
2. Kontrola uruchamianych aplikacji i skryptów. Mechanizmy allowlistingu, takie jak rozwiązania ThreatLocker, mogą ograniczać wykonywanie nieautoryzowanych plików binarnych, skryptów i plików konfiguracyjnych w środowisku odzyskiwania .
3. Wzmocnienie ochrony fizycznej. Urządzenia, na których kiedykolwiek zainicjowano skanowanie offline, należy traktować jako potencjalnie narażone do czasu pojawienia się poprawki. Dotyczy to zwłaszcza laptopów i komputerów przenośnych .
4. Audyt urządzeń. Warto ustalić, na których komputerach uruchamiano Microsoft Defender Offline Scan, aby właściwie ustalić priorytety i objąć najbardziej narażone systemy dodatkowymi kontrolami.

Najbezpieczniejsze podejście dla zespołów IT i bezpieczeństwa polega obecnie na założeniu, że kwalifikujące się urządzenia mogą być podatne, dopóki nie zostanie potwierdzony ich status i wdrożone odpowiednie zabezpieczenia. GreatXML wymaga fizycznego dostępu, ale w przypadku firmowych laptopów nawet krótka utrata kontroli nad urządzeniem może mieć poważne konsekwencje dla poufności danych.