O que torna o GreatXML especialmente perigoso é a baixa barreira técnica para exploração. O próprio Nightmare Eclipse descreveu a descoberta como "acidental", fruto de apenas quatro horas de pesquisa . Qualquer organização que já tenha executado uma varredura offline do Microsoft Defender (Microsoft Defender Offline Scan) em uma máquina protegida por BitLocker agora possui uma vulnerabilidade silenciosa e pré-existente à espera de ser explorada.

Como o exploit GreatXML desbloqueia um drive criptografado

O GreatXML funciona ao tirar proveito de uma relação de confiança profunda dentro da infraestrutura de recuperação do Windows. O BitLocker foi projetado para proteger seus dados, mas ele é desbloqueado automaticamente quando o sistema entra em um ambiente de recuperação confiável, como o WinRE — o mesmo ambiente usado pelo Microsoft Defender Offline Scan.

A cadeia do ataque segue os passos abaixo:

1. O pré-requisito oculto: O Microsoft Defender Offline Scan deve ter sido executado ao menos uma vez no dispositivo alvo. Essa ação deixa artefatos legítimos na partição de recuperação, incluindo um arquivo de configuração baseado em XML e um diretório Recovery . Esses artefatos são a porta de entrada para o exploit.
2. Instalação dos arquivos maliciosos: Com acesso físico breve à máquina, um atacante copia um arquivo XML especialmente criado e uma pasta Recovery modificada diretamente na partição de recuperação .
3. O gatilho da reinicialização: O sistema é reiniciado no Modo de Recuperação do Windows (WinRE). Como o ambiente de recuperação e seus arquivos de configuração são considerados uma fonte confiável — vindos do fluxo de varredura offline do Defender — o BitLocker libera a chave de criptografia do volume sem pedir senha, PIN ou chave de recuperação .
4. Shell SYSTEM obtido: O arquivo XML manipulado é processado automaticamente na inicialização, o que dispara um prompt de comando executado com privilégios de NT AUTHORITY\SYSTEM. A partir desse shell, um atacante pode ler, copiar ou modificar todos os arquivos no drive criptografado .

Como descreve o Hive Security, o arquivo "fez exatamente o que foi projetado para fazer — só que nas mãos erradas, na hora errada, dentro do único ambiente que o BitLocker confia para deixar as chaves em paz" .

O panorama geral: a campanha crescente de Nightmare Eclipse

GreatXML não é uma divulgação isolada. É a sétima zero-day publicada desde abril de 2026 por Nightmare Eclipse, um pesquisador de segurança que está em uma briga pública e que já dura meses com a Microsoft por causa do processo de tratamento de vulnerabilidades . O pesquisador liberou cada falha acompanhada de um código de prova de conceito (PoC) funcional — prática que a Microsoft condena como algo que coloca os clientes "em risco desnecessário" .

Veja a linha do tempo completa das divulgações de Nightmare Eclipse em 2026 e o status atual até meados de junho:

BlueHammer foi uma falha de escalonamento de privilégio local (LPE) no Windows Defender com pontuação CVSS 7.8 . RedSun e UnDefend atacaram, respectivamente, o mecanismo de reversão de arquivos na nuvem do Defender e o de atualização de assinaturas . YellowKey foi uma quebra anterior do BitLocker, e GreenPlasma é um LPE baseado no CTFMON que concede acesso SYSTEM .

Mais recentemente, o RoguePlanet, publicado um dia antes do GreatXML, explora uma condição de corrida do tipo "tempo de verificação para tempo de uso" (TOCTOU) no Microsoft Defender para obter privilégios SYSTEM em sistemas totalmente corrigidos .

Patch Tuesday de junho de 2026: quem foi corrigido

O Patch Tuesday de 9 de junho de 2026 da Microsoft corrigiu mais de 200 vulnerabilidades, incluindo seis zero-days . Entre os exploits divulgados por Nightmare Eclipse, dois foram resolvidos:

• GreenPlasma (CVE-2026-45586) foi corrigido .
• YellowKey (CVE-2026-50507) foi corrigido .

No entanto, tanto o RoguePlanet quanto o GreatXML ficaram de fora da atualização. Até a última atualização desta reportagem, nenhum dos dois tem correção oficial ou CVE atribuído .

Quem está vulnerável a este ataque

O perfil de um sistema vulnerável é surpreendentemente comum. O exploit afeta qualquer dispositivo Windows que use BitLocker no modo TPM-only onde o Microsoft Defender Offline Scan foi executado ao menos uma vez .

No modo TPM-only, o Módulo de Plataforma Confiável (TPM) entrega automaticamente a chave de criptografia durante a inicialização. É por isso que o exploit funciona perfeitamente assim que a máquina é forçada a entrar no ambiente WinRE confiável. O atacante não precisa saber uma senha ou possuir a chave de recuperação — apenas acesso físico ao notebook ou estação de trabalho e tempo suficiente para uma única reinicialização .

Isso torna laptops, estações de trabalho portáteis e outros dispositivos móveis os alvos principais para roubo empresarial ou ataques do tipo "evil maid" (ataque rápido com acesso físico temporário). Servidores também são afetados, embora o requisito de acesso físico os torne alvos menos prováveis na maioria dos modelos de ameaça.

Mitigações até a Microsoft lançar uma correção

Não existe patch oficial para o GreatXML. As organizações devem implementar controles compensatórios imediatamente, em vez de esperar a Microsoft agir .

1. Mude da autenticação TPM-only para TPM+PIN. Esta é a solução alternativa mais eficaz. Configurar o BitLocker para exigir um TPM com um PIN (ou TPM mais uma chave de inicialização USB) significa que, mesmo que um atacante reinicie o dispositivo no WinRE, o drive não será desbloqueado sem o PIN .
2. Aplique controles de lista de permissão de aplicativos. Soluções como ThreatLocker podem ser configuradas para bloquear a execução de binários, scripts e arquivos de configuração XML não autorizados no ambiente de recuperação, quebrando a cadeia de execução do ataque .
3. Reforce a segurança física para dispositivos de alto risco. Trate qualquer dispositivo que já tenha passado por uma varredura offline do Defender como tendo uma vulnerabilidade permanente. Reforce os controles de acesso físico e monitore o manuseio não autorizado até que um patch esteja disponível .
4. Audite seu ambiente. Identifique quais máquinas executaram uma varredura offline. Sem esse pré-requisito, o exploit não pode ser montado; portanto, identificar esses dispositivos ajuda a priorizar a mitigação imediata.

A comunidade de segurança está tratando o GreatXML como um exploit publicamente disponível e tecnicamente plausível, com validação externa incompleta . Para as equipes de defesa, isso significa que a suposição mais segura é que todo sistema elegível é explorável até que se prove o contrário.

O que torna o GreatXML especialmente perigoso é a baixa barreira técnica para exploração. O próprio Nightmare Eclipse descreveu a descoberta como "acidental", fruto de apenas quatro horas de pesquisa . Qualquer organização que já tenha executado uma varredura offline do Microsoft Defender (Microsoft Defender Offline Scan) em uma máquina protegida por BitLocker agora possui uma vulnerabilidade silenciosa e pré-existente à espera de ser explorada.

Como o exploit GreatXML desbloqueia um drive criptografado

O GreatXML funciona ao tirar proveito de uma relação de confiança profunda dentro da infraestrutura de recuperação do Windows. O BitLocker foi projetado para proteger seus dados, mas ele é desbloqueado automaticamente quando o sistema entra em um ambiente de recuperação confiável, como o WinRE — o mesmo ambiente usado pelo Microsoft Defender Offline Scan.

A cadeia do ataque segue os passos abaixo:

1. O pré-requisito oculto: O Microsoft Defender Offline Scan deve ter sido executado ao menos uma vez no dispositivo alvo. Essa ação deixa artefatos legítimos na partição de recuperação, incluindo um arquivo de configuração baseado em XML e um diretório Recovery . Esses artefatos são a porta de entrada para o exploit.
2. Instalação dos arquivos maliciosos: Com acesso físico breve à máquina, um atacante copia um arquivo XML especialmente criado e uma pasta Recovery modificada diretamente na partição de recuperação .
3. O gatilho da reinicialização: O sistema é reiniciado no Modo de Recuperação do Windows (WinRE). Como o ambiente de recuperação e seus arquivos de configuração são considerados uma fonte confiável — vindos do fluxo de varredura offline do Defender — o BitLocker libera a chave de criptografia do volume sem pedir senha, PIN ou chave de recuperação .
4. Shell SYSTEM obtido: O arquivo XML manipulado é processado automaticamente na inicialização, o que dispara um prompt de comando executado com privilégios de NT AUTHORITY\SYSTEM. A partir desse shell, um atacante pode ler, copiar ou modificar todos os arquivos no drive criptografado .

Como descreve o Hive Security, o arquivo "fez exatamente o que foi projetado para fazer — só que nas mãos erradas, na hora errada, dentro do único ambiente que o BitLocker confia para deixar as chaves em paz" .

O panorama geral: a campanha crescente de Nightmare Eclipse

GreatXML não é uma divulgação isolada. É a sétima zero-day publicada desde abril de 2026 por Nightmare Eclipse, um pesquisador de segurança que está em uma briga pública e que já dura meses com a Microsoft por causa do processo de tratamento de vulnerabilidades . O pesquisador liberou cada falha acompanhada de um código de prova de conceito (PoC) funcional — prática que a Microsoft condena como algo que coloca os clientes "em risco desnecessário" .

Veja a linha do tempo completa das divulgações de Nightmare Eclipse em 2026 e o status atual até meados de junho:

BlueHammer foi uma falha de escalonamento de privilégio local (LPE) no Windows Defender com pontuação CVSS 7.8 . RedSun e UnDefend atacaram, respectivamente, o mecanismo de reversão de arquivos na nuvem do Defender e o de atualização de assinaturas . YellowKey foi uma quebra anterior do BitLocker, e GreenPlasma é um LPE baseado no CTFMON que concede acesso SYSTEM .

Mais recentemente, o RoguePlanet, publicado um dia antes do GreatXML, explora uma condição de corrida do tipo "tempo de verificação para tempo de uso" (TOCTOU) no Microsoft Defender para obter privilégios SYSTEM em sistemas totalmente corrigidos .

Patch Tuesday de junho de 2026: quem foi corrigido

O Patch Tuesday de 9 de junho de 2026 da Microsoft corrigiu mais de 200 vulnerabilidades, incluindo seis zero-days . Entre os exploits divulgados por Nightmare Eclipse, dois foram resolvidos:

• GreenPlasma (CVE-2026-45586) foi corrigido .
• YellowKey (CVE-2026-50507) foi corrigido .

No entanto, tanto o RoguePlanet quanto o GreatXML ficaram de fora da atualização. Até a última atualização desta reportagem, nenhum dos dois tem correção oficial ou CVE atribuído .

Quem está vulnerável a este ataque

O perfil de um sistema vulnerável é surpreendentemente comum. O exploit afeta qualquer dispositivo Windows que use BitLocker no modo TPM-only onde o Microsoft Defender Offline Scan foi executado ao menos uma vez .

No modo TPM-only, o Módulo de Plataforma Confiável (TPM) entrega automaticamente a chave de criptografia durante a inicialização. É por isso que o exploit funciona perfeitamente assim que a máquina é forçada a entrar no ambiente WinRE confiável. O atacante não precisa saber uma senha ou possuir a chave de recuperação — apenas acesso físico ao notebook ou estação de trabalho e tempo suficiente para uma única reinicialização .

Isso torna laptops, estações de trabalho portáteis e outros dispositivos móveis os alvos principais para roubo empresarial ou ataques do tipo "evil maid" (ataque rápido com acesso físico temporário). Servidores também são afetados, embora o requisito de acesso físico os torne alvos menos prováveis na maioria dos modelos de ameaça.

Mitigações até a Microsoft lançar uma correção

Não existe patch oficial para o GreatXML. As organizações devem implementar controles compensatórios imediatamente, em vez de esperar a Microsoft agir .

1. Mude da autenticação TPM-only para TPM+PIN. Esta é a solução alternativa mais eficaz. Configurar o BitLocker para exigir um TPM com um PIN (ou TPM mais uma chave de inicialização USB) significa que, mesmo que um atacante reinicie o dispositivo no WinRE, o drive não será desbloqueado sem o PIN .
2. Aplique controles de lista de permissão de aplicativos. Soluções como ThreatLocker podem ser configuradas para bloquear a execução de binários, scripts e arquivos de configuração XML não autorizados no ambiente de recuperação, quebrando a cadeia de execução do ataque .
3. Reforce a segurança física para dispositivos de alto risco. Trate qualquer dispositivo que já tenha passado por uma varredura offline do Defender como tendo uma vulnerabilidade permanente. Reforce os controles de acesso físico e monitore o manuseio não autorizado até que um patch esteja disponível .
4. Audite seu ambiente. Identifique quais máquinas executaram uma varredura offline. Sem esse pré-requisito, o exploit não pode ser montado; portanto, identificar esses dispositivos ajuda a priorizar a mitigação imediata.

A comunidade de segurança está tratando o GreatXML como um exploit publicamente disponível e tecnicamente plausível, com validação externa incompleta . Para as equipes de defesa, isso significa que a suposição mais segura é que todo sistema elegível é explorável até que se prove o contrário.