Йдеться не про віддалену атаку через інтернет: зловмиснику потрібен короткий фізичний доступ до ноутбука чи робочої станції. Водночас після підготовки атаки й перезавантаження не потрібні пароль користувача, PIN або ключ відновлення . Станом на публікацію Microsoft не випустила офіційного виправлення, а GreatXML не отримав ідентифікатора CVE . Дослідник назвав знахідку випадковою та заявив, що на її пошук пішло близько чотирьох годин .

Важливе застереження: фахівці описують GreatXML як технічно правдоподібний публічний proof of concept, але зазначають, що зовнішня перевірка його можливостей поки неповна .

Як працює обхід BitLocker

Проблема пов’язана з довірою між BitLocker і WinRE. Середовище відновлення використовується, зокрема, під час Microsoft Defender Offline Scan — автономної перевірки, яка запускається до повного завантаження Windows. За певних умов BitLocker автоматично розблоковує том, щоб WinRE могло виконати операції відновлення.

За описом дослідника та джерел, ланцюжок атаки має такий вигляд:

1. На пристрої раніше запускали Defender Offline Scan. Це залишає на розділі відновлення легітимні артефакти, зокрема XML-файл конфігурації та каталог Recovery .
2. Зловмисник отримує фізичний доступ. На розділ відновлення копіюють спеціально підготовлений XML-файл, відомий як unattend.xml, і змінений каталог Recovery .
3. Комп’ютер перезавантажують у WinRE. Середовище відновлення та його конфігураційні файли сприймаються як частина довіреного процесу автономного сканування. У режимі BitLocker TPM-only це може призвести до автоматичного розблокування зашифрованого тому без введення ключа відновлення .
4. XML-файл обробляється під час запуску. У результаті відкривається командний рядок із контекстом NT AUTHORITY\\SYSTEM. Такий доступ дає змогу читати, копіювати або змінювати файли на зашифрованому диску .

Інакше кажучи, атака використовує не «злам» криптографії BitLocker, а надмірну довіру до компонентів і файлів у середовищі відновлення. У формулюванні Hive Security, файл виконує те, для чого його створили, але «не в тих руках, не в той момент і в тому середовищі, якому BitLocker довіряє» .

Які пристрої під загрозою

Найбільш ризикований профіль — Windows-пристрій із BitLocker у режимі TPM-only, на якому хоча б раз запускали Microsoft Defender Offline Scan . У цьому режимі TPM може автоматично передавати ключ під час завантаження, тому перехід у довірене середовище WinRE стає критично важливим для описаної атаки.

Практично це означає підвищений ризик для:

• корпоративних ноутбуків;
• мобільних робочих станцій;
• пристроїв, які можуть бути викрадені або залишені без нагляду;
• комп’ютерів, до яких стороння особа може отримати тимчасовий фізичний доступ.

Сервери також згадуються серед потенційно уразливих систем, однак вимога фізичного доступу в більшості моделей загроз робить їх менш очевидною ціллю. Без попереднього запуску Defender Offline Scan необхідна передумова для описаного сценарію відсутня .

GreatXML у контексті кампанії Nightmare Eclipse

GreatXML став черговим епізодом публічного конфлікту між Nightmare Eclipse та Microsoft. Із квітня 2026 року дослідник послідовно оприлюднює вразливості Windows і часто додає до них робочий proof of concept. Microsoft критикує такий підхід, заявляючи, що деталі не передавалися компанії через офіційні канали до публікації, а передчасне розкриття наражає клієнтів на «непотрібний ризик» .

Станом на середину червня перелік розкриттів виглядав так:

BlueHammer була локальною ескалацією привілеїв у Windows Defender із показником CVSS 7,8 . RedSun і UnDefend стосувалися механізмів відкату хмарних файлів Defender та оновлення сигнатур відповідно . YellowKey також обходила захист BitLocker, тоді як GreenPlasma використовувала процес CTFMON для отримання привілеїв SYSTEM .

Безпосередньо перед GreatXML дослідник оприлюднив RoguePlanet — експлойт для Microsoft Defender, який використовує перегони типу time-of-check to time-of-use (TOCTOU) для локального отримання привілеїв SYSTEM навіть на повністю оновлених системах .

Що виправив Microsoft у червневий Patch Tuesday

9 червня 2026 року Microsoft випустила черговий пакет оновлень Patch Tuesday, який закрив понад 200 вразливостей, зокрема шість zero-day . Серед розкриттів Nightmare Eclipse до оновлення увійшли:

• GreenPlasma (CVE-2026-45586) — виправлено ;
• YellowKey (CVE-2026-50507) — виправлено .

Водночас RoguePlanet і GreatXML до цього оновлення не потрапили. На момент останніх повідомлень для них не було ані офіційного патча, ані присвоєного CVE для GreatXML .

Як захиститися до виходу виправлення

Організаціям варто не чекати на офіційний патч, а запровадити компенсувальні заходи для всіх пристроїв, які відповідають описаному профілю ризику .

1. Перейдіть із TPM-only на TPM+PIN. Це найважливіший захід на рівні конфігурації BitLocker. Додаткова вимога PIN або використання TPM разом із USB-ключем означає, що одного перезавантаження в WinRE буде недостатньо для розблокування диска .
2. Застосуйте allowlisting застосунків. Засоби на кшталт ThreatLocker можна налаштувати так, щоб блокувати запуск неавторизованих виконуваних файлів, скриптів і XML-файлів налаштування в середовищі відновлення .
3. Посильте фізичний захист пристроїв. Ноутбуки та робочі станції, на яких запускався автономний сканер Defender, доцільно вважати потенційно уразливими до появи патча. Обмежте доступ до них і контролюйте випадки несанкціонованого переміщення або обслуговування .
4. Проведіть аудит. Визначте, на яких машинах запускали Microsoft Defender Offline Scan. Це допоможе пріоритезувати перехід на TPM+PIN та інші заходи захисту.
5. Не плутайте відсутність CVE з відсутністю ризику. GreatXML ще не має офіційного номера CVE, однак його публічний PoC означає, що придатні для атаки системи варто захищати за принципом «уразливість існує, доки не доведено протилежне» .

GreatXML не робить будь-який зашифрований BitLocker диск автоматично доступним для кожного віддаленого зловмисника. Але для пристрою, який уже використовував Defender Offline Scan, працює в режимі TPM-only і може опинитися в чужих руках, це серйозна прогалина фізичного захисту. До появи офіційного виправлення перехід на TPM+PIN і посилення контролю доступу є найпрактичнішими кроками.

Йдеться не про віддалену атаку через інтернет: зловмиснику потрібен короткий фізичний доступ до ноутбука чи робочої станції. Водночас після підготовки атаки й перезавантаження не потрібні пароль користувача, PIN або ключ відновлення . Станом на публікацію Microsoft не випустила офіційного виправлення, а GreatXML не отримав ідентифікатора CVE . Дослідник назвав знахідку випадковою та заявив, що на її пошук пішло близько чотирьох годин .

Важливе застереження: фахівці описують GreatXML як технічно правдоподібний публічний proof of concept, але зазначають, що зовнішня перевірка його можливостей поки неповна .

Як працює обхід BitLocker

Проблема пов’язана з довірою між BitLocker і WinRE. Середовище відновлення використовується, зокрема, під час Microsoft Defender Offline Scan — автономної перевірки, яка запускається до повного завантаження Windows. За певних умов BitLocker автоматично розблоковує том, щоб WinRE могло виконати операції відновлення.

За описом дослідника та джерел, ланцюжок атаки має такий вигляд:

1. На пристрої раніше запускали Defender Offline Scan. Це залишає на розділі відновлення легітимні артефакти, зокрема XML-файл конфігурації та каталог Recovery .
2. Зловмисник отримує фізичний доступ. На розділ відновлення копіюють спеціально підготовлений XML-файл, відомий як unattend.xml, і змінений каталог Recovery .
3. Комп’ютер перезавантажують у WinRE. Середовище відновлення та його конфігураційні файли сприймаються як частина довіреного процесу автономного сканування. У режимі BitLocker TPM-only це може призвести до автоматичного розблокування зашифрованого тому без введення ключа відновлення .
4. XML-файл обробляється під час запуску. У результаті відкривається командний рядок із контекстом NT AUTHORITY\\SYSTEM. Такий доступ дає змогу читати, копіювати або змінювати файли на зашифрованому диску .

Інакше кажучи, атака використовує не «злам» криптографії BitLocker, а надмірну довіру до компонентів і файлів у середовищі відновлення. У формулюванні Hive Security, файл виконує те, для чого його створили, але «не в тих руках, не в той момент і в тому середовищі, якому BitLocker довіряє» .

Які пристрої під загрозою

Найбільш ризикований профіль — Windows-пристрій із BitLocker у режимі TPM-only, на якому хоча б раз запускали Microsoft Defender Offline Scan . У цьому режимі TPM може автоматично передавати ключ під час завантаження, тому перехід у довірене середовище WinRE стає критично важливим для описаної атаки.

Практично це означає підвищений ризик для:

• корпоративних ноутбуків;
• мобільних робочих станцій;
• пристроїв, які можуть бути викрадені або залишені без нагляду;
• комп’ютерів, до яких стороння особа може отримати тимчасовий фізичний доступ.

Сервери також згадуються серед потенційно уразливих систем, однак вимога фізичного доступу в більшості моделей загроз робить їх менш очевидною ціллю. Без попереднього запуску Defender Offline Scan необхідна передумова для описаного сценарію відсутня .

GreatXML у контексті кампанії Nightmare Eclipse

GreatXML став черговим епізодом публічного конфлікту між Nightmare Eclipse та Microsoft. Із квітня 2026 року дослідник послідовно оприлюднює вразливості Windows і часто додає до них робочий proof of concept. Microsoft критикує такий підхід, заявляючи, що деталі не передавалися компанії через офіційні канали до публікації, а передчасне розкриття наражає клієнтів на «непотрібний ризик» .

Станом на середину червня перелік розкриттів виглядав так:

BlueHammer була локальною ескалацією привілеїв у Windows Defender із показником CVSS 7,8 . RedSun і UnDefend стосувалися механізмів відкату хмарних файлів Defender та оновлення сигнатур відповідно . YellowKey також обходила захист BitLocker, тоді як GreenPlasma використовувала процес CTFMON для отримання привілеїв SYSTEM .

Безпосередньо перед GreatXML дослідник оприлюднив RoguePlanet — експлойт для Microsoft Defender, який використовує перегони типу time-of-check to time-of-use (TOCTOU) для локального отримання привілеїв SYSTEM навіть на повністю оновлених системах .

Що виправив Microsoft у червневий Patch Tuesday

9 червня 2026 року Microsoft випустила черговий пакет оновлень Patch Tuesday, який закрив понад 200 вразливостей, зокрема шість zero-day . Серед розкриттів Nightmare Eclipse до оновлення увійшли:

• GreenPlasma (CVE-2026-45586) — виправлено ;
• YellowKey (CVE-2026-50507) — виправлено .

Водночас RoguePlanet і GreatXML до цього оновлення не потрапили. На момент останніх повідомлень для них не було ані офіційного патча, ані присвоєного CVE для GreatXML .

Як захиститися до виходу виправлення

Організаціям варто не чекати на офіційний патч, а запровадити компенсувальні заходи для всіх пристроїв, які відповідають описаному профілю ризику .

1. Перейдіть із TPM-only на TPM+PIN. Це найважливіший захід на рівні конфігурації BitLocker. Додаткова вимога PIN або використання TPM разом із USB-ключем означає, що одного перезавантаження в WinRE буде недостатньо для розблокування диска .
2. Застосуйте allowlisting застосунків. Засоби на кшталт ThreatLocker можна налаштувати так, щоб блокувати запуск неавторизованих виконуваних файлів, скриптів і XML-файлів налаштування в середовищі відновлення .
3. Посильте фізичний захист пристроїв. Ноутбуки та робочі станції, на яких запускався автономний сканер Defender, доцільно вважати потенційно уразливими до появи патча. Обмежте доступ до них і контролюйте випадки несанкціонованого переміщення або обслуговування .
4. Проведіть аудит. Визначте, на яких машинах запускали Microsoft Defender Offline Scan. Це допоможе пріоритезувати перехід на TPM+PIN та інші заходи захисту.
5. Не плутайте відсутність CVE з відсутністю ризику. GreatXML ще не має офіційного номера CVE, однак його публічний PoC означає, що придатні для атаки системи варто захищати за принципом «уразливість існує, доки не доведено протилежне» .

GreatXML не робить будь-який зашифрований BitLocker диск автоматично доступним для кожного віддаленого зловмисника. Але для пристрою, який уже використовував Defender Offline Scan, працює в режимі TPM-only і може опинитися в чужих руках, це серйозна прогалина фізичного захисту. До появи офіційного виправлення перехід на TPM+PIN і посилення контролю доступу є найпрактичнішими кроками.