Angreppet kräver kortvarig fysisk åtkomst till datorn, men varken användarlösenord, inloggning eller BitLocker-återställningsnyckel behöver vara känd. Någon officiell korrigering eller CVE-beteckning fanns inte när uppgifterna publicerades . Samtidigt betonar säkerhetsbedömare att GreatXML är ett offentligt och tekniskt plausibelt proof of concept, men att den externa valideringen fortfarande är ofullständig .

Så kan GreatXML kringgå BitLocker

BitLocker är utformat för att skydda data på en förlorad eller stulen disk. Men Windows använder också en särskild återställningsmiljö, Windows Recovery Environment (WinRE), för bland annat felsökning och Microsoft Defender Offline Scan. Den miljön har ett särskilt förtroende i systemets återställningsflöde.

GreatXML utnyttjar enligt de publicerade uppgifterna just detta förtroende:

1. Defender Offline Scan måste ha startats tidigare. När en sådan genomsökning har initierats lämnas vissa legitima filer och mappar kvar på återställningspartitionen, bland annat en XML-baserad konfigurationsfil och en Recovery-mapp .
2. Angriparen behöver fysisk åtkomst. En manipulerad XML-fil, beskriven som unattend.xml, och en ändrad Recovery-mapp kopieras till återställningspartitionen .
3. Datorn startas om till WinRE. Eftersom återställningsmiljön och dess filer hör ihop med ett betrott Defender-flöde kan BitLocker enligt rapporterna lämna ut volymens krypteringsnyckel utan att fråga efter lösenord, PIN eller återställningsnyckel .
4. Ett SYSTEM-skal öppnas. Den manipulerade XML-filen behandlas automatiskt vid starten och kan utlösa ett kommandofönster som körs som NT AUTHORITY\\SYSTEM. Därifrån kan angriparen läsa, kopiera eller ändra filer på den krypterade disken .

Det centrala problemet är alltså inte att BitLocker i sig saknar kryptering, utan att en betrodd återställningsmiljö får för stort förtroende. Hive Security sammanfattar det som att filen gjorde det den var avsedd att göra – men i fel händer, vid fel tidpunkt och i den miljö där BitLocker litar på att nycklarna får lämnas åt sidan .

Forskaren har beskrivit upptäckten som oavsiktlig och sagt att den tog omkring fyra timmars forskning .

Vem kan vara utsatt?

Den mest relevanta kombinationen är:

• en Windows-enhet med BitLocker,
• BitLocker konfigurerat i TPM-only-läge, och
• en Microsoft Defender Offline Scan som har startats minst en gång .

I TPM-only-läge kan TPM-modulen lämna över krypteringsnyckeln automatiskt under starten. Det gör att en angripare som lyckas få datorn att starta i den betrodda återställningsmiljön inte behöver användarens PIN eller återställningsnyckel .

Bärbara datorer, mobila arbetsstationer och andra enheter som lätt kan stjälas eller lämnas obevakade är därför särskilt viktiga att prioritera. Servrar kan också beröras, men kravet på fysisk åtkomst gör scenariot mindre sannolikt i många servermiljöer.

Microsofts uppdatering täckte inte GreatXML

GreatXML är en del av en större serie Windows-sårbarheter som Nightmare Eclipse har publicerat sedan våren 2026. Forskaren har samtidigt varit inblandad i en offentlig konflikt med Microsoft om hur sårbarheter ska rapporteras och har släppt fungerande proof of concept-kod eller tekniska detaljer tillsammans med flera av fynden . Microsoft har kritiserat den typen av offentliggöranden utan föregående samordning och sagt att de utsätter kunder för onödig risk .

Microsofts Patch Tuesday den 9 juni 2026 innehöll korrigeringar för över 200 sårbarheter, däribland sex zero-days . Två av Nightmare Eclipse-fynden åtgärdades:

BlueHammer var en lokal behörighetseskalering i Windows Defender med CVSS-poängen 7,8 . RedSun och UnDefend riktade in sig på Defenders mekanismer för molnbaserad filåterställning respektive signaturuppdateringar . YellowKey var ytterligare en BitLocker-relaterad kringgående-teknik, medan GreenPlasma kunde ge SYSTEM-behörighet via CTFMON .

RoguePlanet, som publicerades strax före GreatXML, utnyttjar enligt rapporterna en så kallad TOCTOU-kapplöpning i Microsoft Defender och kan ge SYSTEM-behörighet även på fullt uppdaterade Windows 10- och Windows 11-system .

Vad organisationer bör göra nu

Eftersom ingen officiell patch för GreatXML fanns vid publiceringen bör organisationer använda kompenserande skydd i stället för att vänta på en Microsoft-uppdatering .

1. Byt från TPM-only till TPM+PIN

Detta är den viktigaste konfigurationsåtgärden. Kräver BitLocker både TPM och PIN, eller TPM tillsammans med en USB-startnyckel, kan en angripare inte låsa upp enheten enbart genom att starta om den i WinRE .

2. Använd applikationsallowlisting

Allowlisting-lösningar, exempelvis ThreatLocker, kan konfigureras för att stoppa obehöriga binärer, skript och XML-baserade installations- eller konfigurationsfiler. Det kan bryta den del av angreppskedjan där den manipulerade filen körs .

3. Kartlägg datorer där Offline Scan har körts

Inventera vilka enheter som någon gång har använt Microsoft Defender Offline Scan. Den förutsättningen gör det möjligt att prioritera rätt datorer för omkonfiguration och förstärkt fysisk övervakning.

4. Skärp den fysiska säkerheten

Behandla berörda bärbara datorer som potentiellt utsatta tills en officiell lösning finns. Begränsa obehörig hantering, se över rutiner för utlåning och transport och prioritera enheter som innehåller känsliga företagsdata.

GreatXML är därför framför allt ett problem för organisationer som kombinerar BitLocker i TPM-only-läge med enheter som kan nås fysiskt. Den säkraste hållningen är att utgå från att kvalificerade system kan vara exploaterbara tills de har skyddats med TPM+PIN eller annan verifierad kompensation.

Angreppet kräver kortvarig fysisk åtkomst till datorn, men varken användarlösenord, inloggning eller BitLocker-återställningsnyckel behöver vara känd. Någon officiell korrigering eller CVE-beteckning fanns inte när uppgifterna publicerades . Samtidigt betonar säkerhetsbedömare att GreatXML är ett offentligt och tekniskt plausibelt proof of concept, men att den externa valideringen fortfarande är ofullständig .

Så kan GreatXML kringgå BitLocker

BitLocker är utformat för att skydda data på en förlorad eller stulen disk. Men Windows använder också en särskild återställningsmiljö, Windows Recovery Environment (WinRE), för bland annat felsökning och Microsoft Defender Offline Scan. Den miljön har ett särskilt förtroende i systemets återställningsflöde.

GreatXML utnyttjar enligt de publicerade uppgifterna just detta förtroende:

1. Defender Offline Scan måste ha startats tidigare. När en sådan genomsökning har initierats lämnas vissa legitima filer och mappar kvar på återställningspartitionen, bland annat en XML-baserad konfigurationsfil och en Recovery-mapp .
2. Angriparen behöver fysisk åtkomst. En manipulerad XML-fil, beskriven som unattend.xml, och en ändrad Recovery-mapp kopieras till återställningspartitionen .
3. Datorn startas om till WinRE. Eftersom återställningsmiljön och dess filer hör ihop med ett betrott Defender-flöde kan BitLocker enligt rapporterna lämna ut volymens krypteringsnyckel utan att fråga efter lösenord, PIN eller återställningsnyckel .
4. Ett SYSTEM-skal öppnas. Den manipulerade XML-filen behandlas automatiskt vid starten och kan utlösa ett kommandofönster som körs som NT AUTHORITY\\SYSTEM. Därifrån kan angriparen läsa, kopiera eller ändra filer på den krypterade disken .

Det centrala problemet är alltså inte att BitLocker i sig saknar kryptering, utan att en betrodd återställningsmiljö får för stort förtroende. Hive Security sammanfattar det som att filen gjorde det den var avsedd att göra – men i fel händer, vid fel tidpunkt och i den miljö där BitLocker litar på att nycklarna får lämnas åt sidan .

Forskaren har beskrivit upptäckten som oavsiktlig och sagt att den tog omkring fyra timmars forskning .

Vem kan vara utsatt?

Den mest relevanta kombinationen är:

• en Windows-enhet med BitLocker,
• BitLocker konfigurerat i TPM-only-läge, och
• en Microsoft Defender Offline Scan som har startats minst en gång .

I TPM-only-läge kan TPM-modulen lämna över krypteringsnyckeln automatiskt under starten. Det gör att en angripare som lyckas få datorn att starta i den betrodda återställningsmiljön inte behöver användarens PIN eller återställningsnyckel .

Bärbara datorer, mobila arbetsstationer och andra enheter som lätt kan stjälas eller lämnas obevakade är därför särskilt viktiga att prioritera. Servrar kan också beröras, men kravet på fysisk åtkomst gör scenariot mindre sannolikt i många servermiljöer.

Microsofts uppdatering täckte inte GreatXML

GreatXML är en del av en större serie Windows-sårbarheter som Nightmare Eclipse har publicerat sedan våren 2026. Forskaren har samtidigt varit inblandad i en offentlig konflikt med Microsoft om hur sårbarheter ska rapporteras och har släppt fungerande proof of concept-kod eller tekniska detaljer tillsammans med flera av fynden . Microsoft har kritiserat den typen av offentliggöranden utan föregående samordning och sagt att de utsätter kunder för onödig risk .

Microsofts Patch Tuesday den 9 juni 2026 innehöll korrigeringar för över 200 sårbarheter, däribland sex zero-days . Två av Nightmare Eclipse-fynden åtgärdades:

BlueHammer var en lokal behörighetseskalering i Windows Defender med CVSS-poängen 7,8 . RedSun och UnDefend riktade in sig på Defenders mekanismer för molnbaserad filåterställning respektive signaturuppdateringar . YellowKey var ytterligare en BitLocker-relaterad kringgående-teknik, medan GreenPlasma kunde ge SYSTEM-behörighet via CTFMON .

RoguePlanet, som publicerades strax före GreatXML, utnyttjar enligt rapporterna en så kallad TOCTOU-kapplöpning i Microsoft Defender och kan ge SYSTEM-behörighet även på fullt uppdaterade Windows 10- och Windows 11-system .

Vad organisationer bör göra nu

Eftersom ingen officiell patch för GreatXML fanns vid publiceringen bör organisationer använda kompenserande skydd i stället för att vänta på en Microsoft-uppdatering .

1. Byt från TPM-only till TPM+PIN

Detta är den viktigaste konfigurationsåtgärden. Kräver BitLocker både TPM och PIN, eller TPM tillsammans med en USB-startnyckel, kan en angripare inte låsa upp enheten enbart genom att starta om den i WinRE .

2. Använd applikationsallowlisting

Allowlisting-lösningar, exempelvis ThreatLocker, kan konfigureras för att stoppa obehöriga binärer, skript och XML-baserade installations- eller konfigurationsfiler. Det kan bryta den del av angreppskedjan där den manipulerade filen körs .

3. Kartlägg datorer där Offline Scan har körts

Inventera vilka enheter som någon gång har använt Microsoft Defender Offline Scan. Den förutsättningen gör det möjligt att prioritera rätt datorer för omkonfiguration och förstärkt fysisk övervakning.

4. Skärp den fysiska säkerheten

Behandla berörda bärbara datorer som potentiellt utsatta tills en officiell lösning finns. Begränsa obehörig hantering, se över rutiner för utlåning och transport och prioritera enheter som innehåller känsliga företagsdata.

GreatXML är därför framför allt ett problem för organisationer som kombinerar BitLocker i TPM-only-läge med enheter som kan nås fysiskt. Den säkraste hållningen är att utgå från att kvalificerade system kan vara exploaterbara tills de har skyddats med TPM+PIN eller annan verifierad kompensation.