Bu, saldırganın normal Windows oturum açma parolasına, BitLocker kurtarma anahtarına veya PIN’e ihtiyaç duymadan şifreli diskteki dosyaları okumasına, kopyalamasına ya da değiştirmesine yol açabilir. Ancak saldırının uygulanabilmesi için cihaza kısa süreli fiziksel erişim gerekiyor. Ayrıca GreatXML, yayımlandığı tarih itibarıyla Microsoft tarafından doğrulanmış bir CVE’ye veya resmî yamaya sahip değil; güvenlik topluluğu bunu teknik açıdan mümkün görünen, herkese açık bir PoC iddiası ve sınırlı dış doğrulama olarak değerlendiriyor .

Araştırmacı, bulguyu “tesadüfi bir keşif” olarak nitelendirdi ve açığı bulmasının yalnızca dört saat sürdüğünü söyledi .

BitLocker nasıl aşılabiliyor?

GreatXML’in temelinde Windows Kurtarma Ortamı ile BitLocker arasındaki güven ilişkisi bulunuyor. BitLocker verileri korumak için tasarlanmış olsa da Windows, sistem kurtarma işlemlerinin yürütüldüğü WinRE’yi güvenilir bir ortam olarak kabul ediyor. Microsoft Defender Çevrimdışı Tarama da bu ortamı kullanıyor.

Kamuya açık teknik açıklamalara göre saldırı zinciri genel olarak şöyle işliyor:

1. Ön koşul oluşuyor: Hedef cihazda Microsoft Defender Çevrimdışı Tarama’nın en az bir kez başlatılmış olması gerekiyor. Bu işlem kurtarma bölümünde XML tabanlı bir yapılandırma dosyası ve bir Recovery klasörü gibi meşru dosyalar bırakıyor .
2. Dosyalar kurtarma bölümüne yerleştiriliyor: Kısa süreli fiziksel erişim elde eden saldırgan, hazırlanmış bir XML dosyasını ve değiştirilmiş Recovery klasörünü cihazın kurtarma bölümüne kopyalıyor .
3. Cihaz WinRE’de başlatılıyor: Sistem Windows Kurtarma Modu’nda yeniden başlatıldığında, kurtarma ortamı ile Defender’ın çevrimdışı tarama iş akışından kalan yapılandırma dosyaları güvenilir kabul ediliyor. Bu sırada BitLocker, normal bir parola, PIN veya kurtarma anahtarı istemeden birimin kilidini açabiliyor .
4. SYSTEM kabuğu açılıyor: Hazırlanmış XML dosyası başlangıçta otomatik olarak işleniyor ve SYSTEM yetkileriyle çalışan bir komut istemini tetikliyor. Böylece saldırgan şifreli sürücüdeki verilere geniş kapsamlı erişim elde edebiliyor .

Hive Security’nin ifadesiyle dosya, “tasarlandığı şeyi yaptı; yalnızca yanlış kişilerin elinde, yanlış zamanda ve BitLocker’ın anahtarları serbest bırakmak için güvendiği tek ortamın içinde” çalıştı .

Kimler risk altında?

GreatXML’in etkilediği sistem profili, özellikle kurumsal dizüstü bilgisayarlarda oldukça yaygın olabilir. İddiaya göre risk şu koşulların birlikte bulunmasıyla ortaya çıkıyor:

• Windows cihazında BitLocker kullanılması,
• BitLocker’ın TPM-only modunda yapılandırılması,
• Microsoft Defender Çevrimdışı Tarama’nın daha önce en az bir kez başlatılmış olması .

TPM-only yapılandırmasında Güvenilir Platform Modülü (TPM), açılış sırasında şifreleme anahtarının otomatik olarak kullanılmasına izin verir. Cihaz WinRE gibi güvenilir kabul edilen bir ortama yönlendirildiğinde bu davranış saldırının önünü açabilir.

Bu nedenle dizüstü bilgisayarlar, taşınabilir iş istasyonları ve kısa süreliğine başkasının erişimine açık olabilecek cihazlar başlıca risk grubunu oluşturuyor. “Evil maid” olarak adlandırılan, cihaz sahibinin yokluğunda fiziksel erişim sağlama senaryoları burada özellikle önem taşıyor. Sunucular da teknik olarak etkilenebilir; ancak fiziksel erişim gereksinimi, onları çoğu tehdit modelinde daha az olası hedef haline getiriyor.

Nightmare Eclipse’in Microsoft’la gerilimi

GreatXML, Nightmare Eclipse’in 2026’da yayımladığı Windows açıkları dizisinin tek başına duran bir örneği değil. Araştırmacı, nisan ayının başından bu yana Microsoft Defender ve BitLocker dâhil çeşitli Windows bileşenlerini hedefleyen çok sayıda sıfır gün açıkladı .

Araştırmacı, Microsoft’un güvenlik açığı bildirim sürecine yönelik eleştirilerini kamuoyu önünde dile getirirken, açıkları çoğu zaman çalışan kavram kanıtlarıyla (PoC) birlikte yayımladı. Microsoft ise açıkların koordineli bildirim sürecinden geçmeden paylaşılmasının müşterileri “gereksiz bir riske” attığını savundu .

Haziran ortası itibarıyla öne çıkan zaman çizelgesi şöyle:

BlueHammer, Windows Defender’da standart kullanıcı yetkilerinin SYSTEM seviyesine yükseltilmesine izin veren bir yerel yetki yükseltme açığıydı ve CVSS puanı 7,8 olarak bildirildi . RedSun ve UnDefend, Defender’ın bulut dosya geri alma ve imza güncelleme mekanizmalarını hedefliyordu . YellowKey başka bir BitLocker atlatma açığı, GreenPlasma ise CTFMON üzerinden SYSTEM erişimi sağlayan bir yerel yetki yükseltme açığı olarak tanımlandı .

GreatXML’den hemen önce yayımlanan RoguePlanet ise Microsoft Defender’da zaman kontrolü ile kullanım kontrolü arasındaki yarış durumunu (TOCTOU) kötüye kullanarak, tamamen güncellenmiş sistemlerde bile SYSTEM yetkileri elde etmeyi amaçlıyor .

Haziran 2026 Yama Salısı neyi düzeltti?

Microsoft’un 9 Haziran 2026 tarihli Yama Salısı güncellemesi, altı sıfır gün de dâhil olmak üzere 200’den fazla güvenlik açığını giderdi . Nightmare Eclipse’in açıkladığı açıklar arasından iki tanesi güncellemeye dâhil edildi:

• GreenPlasma (CVE-2026-45586): Yamalandı .
• YellowKey (CVE-2026-50507): Yamalandı .

Buna karşılık RoguePlanet ve GreatXML güncellemede yer almadı. Mevcut raporlara göre GreatXML için ne resmî bir yama bulunuyor ne de bir CVE numarası atanmış durumda .

Microsoft yama yayımlayana kadar ne yapılmalı?

GreatXML için resmî bir düzeltme bulunmadığından kuruluşların yalnızca güncelleme beklemek yerine telafi edici kontroller uygulaması öneriliyor .

1. TPM-only yerine TPM+PIN kullanın. En etkili geçici yapılandırma değişikliği bu. BitLocker’ın TPM ile birlikte PIN veya USB başlangıç anahtarı istemesi, saldırgan WinRE’ye yeniden başlatsa bile doğru PIN ya da anahtar olmadan sürücünün açılmasını engelleyebilir .
2. Uygulama izin listelerini sıkılaştırın. ThreatLocker gibi uygulama allowlisting çözümleri, kurtarma ortamında yetkisiz ikili dosyaların, betiklerin ve XML tabanlı kurulum dosyalarının çalışmasını engelleyecek şekilde yapılandırılabilir .
3. Fiziksel güvenliği güçlendirin. Defender Çevrimdışı Tarama’nın daha önce çalıştırıldığı cihazları, yama yayımlanana kadar kalıcı bir risk taşıyor kabul edin. Özellikle dizüstü bilgisayarların fiziksel olarak izinsiz alınmasını veya kısa süreliğine kurcalanmasını önleyecek kontrolleri artırın .
4. Etkilenen cihazları belirleyin. Hangi bilgisayarlarda çevrimdışı tarama başlatıldığını denetleyin. Bu ön koşul bulunmayan cihazlarda saldırının kurulamayacağı bildirildiğinden, en acil önlemler uygun sistemlere önceliklendirilebilir.
5. Çevrimdışı tarama kullanımını gözden geçirin. Bazı güvenlik ekipleri, yama yayımlanana kadar Defender Çevrimdışı Tarama özelliğinin kullanımını ve bu özelliğin oluşturduğu kurtarma kalıntılarını ayrıca değerlendirmeyi öneriyor .

GreatXML’in gerçek dünyada saldırılarda kullanıldığına dair burada doğrulanmış bir bilgi bulunmuyor. Ancak PoC’nin kamuya açık olması ve saldırının fiziksel erişim gerektirmesi, özellikle kurumsal dizüstü bilgisayarları yöneten ekipler için bekle-gör yaklaşımını riskli kılıyor. En güvenli varsayım, uygun koşulları taşıyan cihazların Microsoft resmî bir düzeltme yayımlayana kadar savunmasız kabul edilmesi.

Bu, saldırganın normal Windows oturum açma parolasına, BitLocker kurtarma anahtarına veya PIN’e ihtiyaç duymadan şifreli diskteki dosyaları okumasına, kopyalamasına ya da değiştirmesine yol açabilir. Ancak saldırının uygulanabilmesi için cihaza kısa süreli fiziksel erişim gerekiyor. Ayrıca GreatXML, yayımlandığı tarih itibarıyla Microsoft tarafından doğrulanmış bir CVE’ye veya resmî yamaya sahip değil; güvenlik topluluğu bunu teknik açıdan mümkün görünen, herkese açık bir PoC iddiası ve sınırlı dış doğrulama olarak değerlendiriyor .

Araştırmacı, bulguyu “tesadüfi bir keşif” olarak nitelendirdi ve açığı bulmasının yalnızca dört saat sürdüğünü söyledi .

BitLocker nasıl aşılabiliyor?

GreatXML’in temelinde Windows Kurtarma Ortamı ile BitLocker arasındaki güven ilişkisi bulunuyor. BitLocker verileri korumak için tasarlanmış olsa da Windows, sistem kurtarma işlemlerinin yürütüldüğü WinRE’yi güvenilir bir ortam olarak kabul ediyor. Microsoft Defender Çevrimdışı Tarama da bu ortamı kullanıyor.

Kamuya açık teknik açıklamalara göre saldırı zinciri genel olarak şöyle işliyor:

1. Ön koşul oluşuyor: Hedef cihazda Microsoft Defender Çevrimdışı Tarama’nın en az bir kez başlatılmış olması gerekiyor. Bu işlem kurtarma bölümünde XML tabanlı bir yapılandırma dosyası ve bir Recovery klasörü gibi meşru dosyalar bırakıyor .
2. Dosyalar kurtarma bölümüne yerleştiriliyor: Kısa süreli fiziksel erişim elde eden saldırgan, hazırlanmış bir XML dosyasını ve değiştirilmiş Recovery klasörünü cihazın kurtarma bölümüne kopyalıyor .
3. Cihaz WinRE’de başlatılıyor: Sistem Windows Kurtarma Modu’nda yeniden başlatıldığında, kurtarma ortamı ile Defender’ın çevrimdışı tarama iş akışından kalan yapılandırma dosyaları güvenilir kabul ediliyor. Bu sırada BitLocker, normal bir parola, PIN veya kurtarma anahtarı istemeden birimin kilidini açabiliyor .
4. SYSTEM kabuğu açılıyor: Hazırlanmış XML dosyası başlangıçta otomatik olarak işleniyor ve SYSTEM yetkileriyle çalışan bir komut istemini tetikliyor. Böylece saldırgan şifreli sürücüdeki verilere geniş kapsamlı erişim elde edebiliyor .

Hive Security’nin ifadesiyle dosya, “tasarlandığı şeyi yaptı; yalnızca yanlış kişilerin elinde, yanlış zamanda ve BitLocker’ın anahtarları serbest bırakmak için güvendiği tek ortamın içinde” çalıştı .

Kimler risk altında?

GreatXML’in etkilediği sistem profili, özellikle kurumsal dizüstü bilgisayarlarda oldukça yaygın olabilir. İddiaya göre risk şu koşulların birlikte bulunmasıyla ortaya çıkıyor:

• Windows cihazında BitLocker kullanılması,
• BitLocker’ın TPM-only modunda yapılandırılması,
• Microsoft Defender Çevrimdışı Tarama’nın daha önce en az bir kez başlatılmış olması .

TPM-only yapılandırmasında Güvenilir Platform Modülü (TPM), açılış sırasında şifreleme anahtarının otomatik olarak kullanılmasına izin verir. Cihaz WinRE gibi güvenilir kabul edilen bir ortama yönlendirildiğinde bu davranış saldırının önünü açabilir.

Bu nedenle dizüstü bilgisayarlar, taşınabilir iş istasyonları ve kısa süreliğine başkasının erişimine açık olabilecek cihazlar başlıca risk grubunu oluşturuyor. “Evil maid” olarak adlandırılan, cihaz sahibinin yokluğunda fiziksel erişim sağlama senaryoları burada özellikle önem taşıyor. Sunucular da teknik olarak etkilenebilir; ancak fiziksel erişim gereksinimi, onları çoğu tehdit modelinde daha az olası hedef haline getiriyor.

Nightmare Eclipse’in Microsoft’la gerilimi

GreatXML, Nightmare Eclipse’in 2026’da yayımladığı Windows açıkları dizisinin tek başına duran bir örneği değil. Araştırmacı, nisan ayının başından bu yana Microsoft Defender ve BitLocker dâhil çeşitli Windows bileşenlerini hedefleyen çok sayıda sıfır gün açıkladı .

Araştırmacı, Microsoft’un güvenlik açığı bildirim sürecine yönelik eleştirilerini kamuoyu önünde dile getirirken, açıkları çoğu zaman çalışan kavram kanıtlarıyla (PoC) birlikte yayımladı. Microsoft ise açıkların koordineli bildirim sürecinden geçmeden paylaşılmasının müşterileri “gereksiz bir riske” attığını savundu .

Haziran ortası itibarıyla öne çıkan zaman çizelgesi şöyle:

BlueHammer, Windows Defender’da standart kullanıcı yetkilerinin SYSTEM seviyesine yükseltilmesine izin veren bir yerel yetki yükseltme açığıydı ve CVSS puanı 7,8 olarak bildirildi . RedSun ve UnDefend, Defender’ın bulut dosya geri alma ve imza güncelleme mekanizmalarını hedefliyordu . YellowKey başka bir BitLocker atlatma açığı, GreenPlasma ise CTFMON üzerinden SYSTEM erişimi sağlayan bir yerel yetki yükseltme açığı olarak tanımlandı .

GreatXML’den hemen önce yayımlanan RoguePlanet ise Microsoft Defender’da zaman kontrolü ile kullanım kontrolü arasındaki yarış durumunu (TOCTOU) kötüye kullanarak, tamamen güncellenmiş sistemlerde bile SYSTEM yetkileri elde etmeyi amaçlıyor .

Haziran 2026 Yama Salısı neyi düzeltti?

Microsoft’un 9 Haziran 2026 tarihli Yama Salısı güncellemesi, altı sıfır gün de dâhil olmak üzere 200’den fazla güvenlik açığını giderdi . Nightmare Eclipse’in açıkladığı açıklar arasından iki tanesi güncellemeye dâhil edildi:

• GreenPlasma (CVE-2026-45586): Yamalandı .
• YellowKey (CVE-2026-50507): Yamalandı .

Buna karşılık RoguePlanet ve GreatXML güncellemede yer almadı. Mevcut raporlara göre GreatXML için ne resmî bir yama bulunuyor ne de bir CVE numarası atanmış durumda .

Microsoft yama yayımlayana kadar ne yapılmalı?

GreatXML için resmî bir düzeltme bulunmadığından kuruluşların yalnızca güncelleme beklemek yerine telafi edici kontroller uygulaması öneriliyor .

1. TPM-only yerine TPM+PIN kullanın. En etkili geçici yapılandırma değişikliği bu. BitLocker’ın TPM ile birlikte PIN veya USB başlangıç anahtarı istemesi, saldırgan WinRE’ye yeniden başlatsa bile doğru PIN ya da anahtar olmadan sürücünün açılmasını engelleyebilir .
2. Uygulama izin listelerini sıkılaştırın. ThreatLocker gibi uygulama allowlisting çözümleri, kurtarma ortamında yetkisiz ikili dosyaların, betiklerin ve XML tabanlı kurulum dosyalarının çalışmasını engelleyecek şekilde yapılandırılabilir .
3. Fiziksel güvenliği güçlendirin. Defender Çevrimdışı Tarama’nın daha önce çalıştırıldığı cihazları, yama yayımlanana kadar kalıcı bir risk taşıyor kabul edin. Özellikle dizüstü bilgisayarların fiziksel olarak izinsiz alınmasını veya kısa süreliğine kurcalanmasını önleyecek kontrolleri artırın .
4. Etkilenen cihazları belirleyin. Hangi bilgisayarlarda çevrimdışı tarama başlatıldığını denetleyin. Bu ön koşul bulunmayan cihazlarda saldırının kurulamayacağı bildirildiğinden, en acil önlemler uygun sistemlere önceliklendirilebilir.
5. Çevrimdışı tarama kullanımını gözden geçirin. Bazı güvenlik ekipleri, yama yayımlanana kadar Defender Çevrimdışı Tarama özelliğinin kullanımını ve bu özelliğin oluşturduğu kurtarma kalıntılarını ayrıca değerlendirmeyi öneriyor .

GreatXML’in gerçek dünyada saldırılarda kullanıldığına dair burada doğrulanmış bir bilgi bulunmuyor. Ancak PoC’nin kamuya açık olması ve saldırının fiziksel erişim gerektirmesi, özellikle kurumsal dizüstü bilgisayarları yöneten ekipler için bekle-gör yaklaşımını riskli kılıyor. En güvenli varsayım, uygun koşulları taşıyan cihazların Microsoft resmî bir düzeltme yayımlayana kadar savunmasız kabul edilmesi.