Điều khiến GreatXML trở nên đặc biệt nguy hiểm là rào cản khai thác cực kỳ thấp. Nightmare Eclipse mô tả đây là một "khám phá tình cờ" chỉ mất vỏn vẹn bốn giờ nghiên cứu . Bất kỳ tổ chức nào từng chạy Microsoft Defender Offline Scan trên một máy tính được bảo vệ bởi BitLocker giờ đây đều có một lỗ hổng tiềm ẩn, âm thầm chờ bị khai thác.

Cách GreatXML Mở Khóa Ổ Đĩa Đã Mã Hóa

GreatXML hoạt động bằng cách lợi dụng mối quan hệ tin cậy sâu sắc bên trong cơ sở hạ tầng khôi phục của Windows. BitLocker được thiết kế để bảo vệ dữ liệu của bạn, nhưng nó tự động mở khóa khi hệ thống vào một môi trường khôi phục đáng tin cậy như WinRE – cũng chính là môi trường được Microsoft Defender Offline Scan sử dụng.

Đây là chuỗi tấn công từng bước:

1. Điều kiện tiên quyết ẩn: Microsoft Defender Offline Scan phải được khởi chạy ít nhất một lần trên thiết bị mục tiêu. Hành động này để lại các tạo tác hợp lệ trong phân vùng khôi phục, bao gồm một file cấu hình dạng XML và một thư mục Recovery . Chính những tạo tác này là điểm vào cho exploit.
2. Gieo các file độc hại: Chỉ với một khoảng thời gian ngắn có quyền truy cập vật lý vào máy, kẻ tấn công sao chép một file XML được chế tạo đặc biệt và một thư mục Recovery đã được sửa đổi vào phân vùng khôi phục .
3. Kích hoạt bằng cách khởi động lại: Máy được khởi động lại vào Windows Recovery Mode (WinRE). Vì môi trường khôi phục và các file cấu hình của nó được coi là nguồn đáng tin cậy từ quy trình quét ngoại tuyến của Defender, BitLocker giải phóng khóa mã hóa ổ đĩa mà không yêu cầu mật khẩu, mã PIN hay khóa khôi phục .
4. Chiếm được shell SYSTEM: File XML được chế tạo sẽ được xử lý tự động khi khởi động, kích hoạt một dấu nhắc lệnh thực thi với quyền NT AUTHORITY\SYSTEM. Từ shell đó, kẻ tấn công có thể đọc, sao chép hoặc sửa đổi mọi file trên ổ đĩa đã mã hóa .

Như Hive Security mô tả, file đó "đã làm chính xác những gì nó được thiết kế để làm – chỉ là nó nằm trong tay kẻ xấu, vào sai thời điểm, bên trong môi trường duy nhất mà BitLocker tin tưởng để giao chìa khóa" .

Bức Tranh Lớn Hơn: Chiến Dịch Leo Thang Của Nightmare Eclipse

GreatXML không phải là một tiết lộ đơn lẻ. Đây là zero-day thứ bảy được công bố kể từ tháng 4 năm 2026 bởi Nightmare Eclipse, một nhà nghiên cứu bảo mật đang có cuộc đấu khẩu công khai kéo dài nhiều tháng với Microsoft về quy trình xử lý lỗ hổng của hãng . Nhà nghiên cứu này đã phát hành từng lỗ hổng cùng với một bằng chứng khái niệm (PoC) có thể hoạt động, một hành động mà Microsoft lên án là đặt khách hàng "vào rủi ro không cần thiết" .

Dưới đây là toàn bộ dòng thời gian các tiết lộ của Nightmare Eclipse trong năm 2026 và trạng thái hiện tại tính đến giữa tháng 6:

BlueHammer là một lỗ hổng leo thang đặc quyền cục bộ (LPE) trong Windows Defender với điểm CVSS là 7.8 . RedSun và UnDefend tấn công vào cơ chế khôi phục file đám mây và cập nhật chữ ký của Defender . YellowKey là một cách vượt BitLocker trước đó, và GreenPlasma là một LPE dựa trên CTFMON cho phép giành quyền truy cập SYSTEM .

Gần đây nhất, RoguePlanet, được công bố một ngày trước GreatXML, khai thác lỗ hổng điều kiện cuộc đua TOCTOU trong Microsoft Defender để giành quyền SYSTEM trên các hệ thống đã được vá đầy đủ .

Patch Tuesday Tháng 6 năm 2026: Ai Đã Được Sửa?

Patch Tuesday ngày 9 tháng 6 năm 2026 của Microsoft đã sửa hơn 200 lỗ hổng, bao gồm sáu zero-day . Trong số các exploit do Nightmare Eclipse tiết lộ, có hai lỗ hổng đã được giải quyết:

• GreenPlasma (CVE-2026-45586) đã được vá .
• YellowKey (CVE-2026-50507) đã được vá .

Tuy nhiên, cả RoguePlanet và GreatXML đều bị bỏ lại trong bản cập nhật. Theo các báo cáo mới nhất, cả hai đều chưa có bản vá chính thức hay mã định danh CVE .

Ai Có Nguy Cơ Bị Tấn Công?

Hồ sơ của một hệ thống dễ bị tấn công phổ biến một cách đáng ngạc nhiên. Exploit này ảnh hưởng đến bất kỳ thiết bị Windows nào sử dụng BitLocker ở chế độ chỉ TPM và đã từng chạy Microsoft Defender Offline Scan ít nhất một lần .

Trong chế độ chỉ TPM, Mô-đun Nền tảng Đáng tin cậy (TPM) sẽ tự động bàn giao khóa mã hóa trong quá trình khởi động, đó là lý do tại sao exploit hoạt động trơn tru một khi máy bị ép vào môi trường WinRE đáng tin cậy. Kẻ tấn công không cần biết mật khẩu hay sở hữu khóa khôi phục – chỉ cần quyền truy cập vật lý vào máy tính xách tay hoặc máy trạm và đủ thời gian cho một lần khởi động lại .

Điều này khiến máy tính xách tay, máy trạm di động và các thiết bị di động khác trở thành mục tiêu chính cho hành vi trộm cắp trong doanh nghiệp hoặc các cuộc tấn công kiểu "người giúp việc độc ác" (evil maid) chớp nhoáng. Máy chủ cũng bị ảnh hưởng, mặc dù yêu cầu về quyền truy cập vật lý khiến chúng ít có khả năng là mục tiêu trong hầu hết các mô hình mối đe dọa.

Các Biện Pháp Giảm Thiểu Cho Đến Khi Microsoft Ra Bản Vá

Chưa có bản vá chính thức nào cho GreatXML. Các tổ chức nên ngay lập tức thực hiện các biện pháp kiểm soát bù đắp thay vì chờ đợi Microsoft hành động .

1. Chuyển từ xác thực chỉ TPM sang TPM+PIN. Đây là giải pháp thay thế hiệu quả nhất. Việc cấu hình BitLocker để yêu cầu TPM với mã PIN (hoặc TPM cộng với khóa khởi động USB) có nghĩa là ngay cả khi kẻ tấn công khởi động lại thiết bị vào WinRE, ổ đĩa sẽ không mở khóa nếu không có mã PIN .
2. Áp dụng các biện pháp kiểm soát danh sách cho phép ứng dụng (allowlisting). Các giải pháp như ThreatLocker có thể được cấu hình để chặn các tệp nhị phân, tập lệnh và file thiết lập XML trái phép thực thi trong môi trường khôi phục, phá vỡ chuỗi thực thi của cuộc tấn công .
3. Thắt chặt an ninh vật lý cho các thiết bị có rủi ro cao. Coi bất kỳ thiết bị nào đã từng trải qua quá trình quét ngoại tuyến của Defender là có lỗ hổng thường trực. Tăng cường kiểm soát truy cập vật lý và giám sát việc xử lý trái phép cho đến khi có bản vá .
4. Kiểm toán môi trường của bạn. Xác định những máy nào đã chạy quét ngoại tuyến. Nếu không có điều kiện tiên quyết đó, exploit không thể được dàn dựng, vì vậy việc xác định các thiết bị đó giúp ưu tiên các biện pháp giảm thiểu ngay lập tức.

Cộng đồng bảo mật đang coi GreatXML là một exploit khả thi về mặt kỹ thuật, được công bố rộng rãi nhưng chưa được xác thực đầy đủ từ bên ngoài . Đối với các đội ngũ phòng thủ, điều đó có nghĩa là giả định an toàn nhất là mọi hệ thống đủ điều kiện đều có thể bị khai thác cho đến khi có bằng chứng ngược lại.

Điều khiến GreatXML trở nên đặc biệt nguy hiểm là rào cản khai thác cực kỳ thấp. Nightmare Eclipse mô tả đây là một "khám phá tình cờ" chỉ mất vỏn vẹn bốn giờ nghiên cứu . Bất kỳ tổ chức nào từng chạy Microsoft Defender Offline Scan trên một máy tính được bảo vệ bởi BitLocker giờ đây đều có một lỗ hổng tiềm ẩn, âm thầm chờ bị khai thác.

Cách GreatXML Mở Khóa Ổ Đĩa Đã Mã Hóa

GreatXML hoạt động bằng cách lợi dụng mối quan hệ tin cậy sâu sắc bên trong cơ sở hạ tầng khôi phục của Windows. BitLocker được thiết kế để bảo vệ dữ liệu của bạn, nhưng nó tự động mở khóa khi hệ thống vào một môi trường khôi phục đáng tin cậy như WinRE – cũng chính là môi trường được Microsoft Defender Offline Scan sử dụng.

Đây là chuỗi tấn công từng bước:

1. Điều kiện tiên quyết ẩn: Microsoft Defender Offline Scan phải được khởi chạy ít nhất một lần trên thiết bị mục tiêu. Hành động này để lại các tạo tác hợp lệ trong phân vùng khôi phục, bao gồm một file cấu hình dạng XML và một thư mục Recovery . Chính những tạo tác này là điểm vào cho exploit.
2. Gieo các file độc hại: Chỉ với một khoảng thời gian ngắn có quyền truy cập vật lý vào máy, kẻ tấn công sao chép một file XML được chế tạo đặc biệt và một thư mục Recovery đã được sửa đổi vào phân vùng khôi phục .
3. Kích hoạt bằng cách khởi động lại: Máy được khởi động lại vào Windows Recovery Mode (WinRE). Vì môi trường khôi phục và các file cấu hình của nó được coi là nguồn đáng tin cậy từ quy trình quét ngoại tuyến của Defender, BitLocker giải phóng khóa mã hóa ổ đĩa mà không yêu cầu mật khẩu, mã PIN hay khóa khôi phục .
4. Chiếm được shell SYSTEM: File XML được chế tạo sẽ được xử lý tự động khi khởi động, kích hoạt một dấu nhắc lệnh thực thi với quyền NT AUTHORITY\SYSTEM. Từ shell đó, kẻ tấn công có thể đọc, sao chép hoặc sửa đổi mọi file trên ổ đĩa đã mã hóa .

Như Hive Security mô tả, file đó "đã làm chính xác những gì nó được thiết kế để làm – chỉ là nó nằm trong tay kẻ xấu, vào sai thời điểm, bên trong môi trường duy nhất mà BitLocker tin tưởng để giao chìa khóa" .

Bức Tranh Lớn Hơn: Chiến Dịch Leo Thang Của Nightmare Eclipse

GreatXML không phải là một tiết lộ đơn lẻ. Đây là zero-day thứ bảy được công bố kể từ tháng 4 năm 2026 bởi Nightmare Eclipse, một nhà nghiên cứu bảo mật đang có cuộc đấu khẩu công khai kéo dài nhiều tháng với Microsoft về quy trình xử lý lỗ hổng của hãng . Nhà nghiên cứu này đã phát hành từng lỗ hổng cùng với một bằng chứng khái niệm (PoC) có thể hoạt động, một hành động mà Microsoft lên án là đặt khách hàng "vào rủi ro không cần thiết" .

Dưới đây là toàn bộ dòng thời gian các tiết lộ của Nightmare Eclipse trong năm 2026 và trạng thái hiện tại tính đến giữa tháng 6:

BlueHammer là một lỗ hổng leo thang đặc quyền cục bộ (LPE) trong Windows Defender với điểm CVSS là 7.8 . RedSun và UnDefend tấn công vào cơ chế khôi phục file đám mây và cập nhật chữ ký của Defender . YellowKey là một cách vượt BitLocker trước đó, và GreenPlasma là một LPE dựa trên CTFMON cho phép giành quyền truy cập SYSTEM .

Gần đây nhất, RoguePlanet, được công bố một ngày trước GreatXML, khai thác lỗ hổng điều kiện cuộc đua TOCTOU trong Microsoft Defender để giành quyền SYSTEM trên các hệ thống đã được vá đầy đủ .

Patch Tuesday Tháng 6 năm 2026: Ai Đã Được Sửa?

Patch Tuesday ngày 9 tháng 6 năm 2026 của Microsoft đã sửa hơn 200 lỗ hổng, bao gồm sáu zero-day . Trong số các exploit do Nightmare Eclipse tiết lộ, có hai lỗ hổng đã được giải quyết:

• GreenPlasma (CVE-2026-45586) đã được vá .
• YellowKey (CVE-2026-50507) đã được vá .

Tuy nhiên, cả RoguePlanet và GreatXML đều bị bỏ lại trong bản cập nhật. Theo các báo cáo mới nhất, cả hai đều chưa có bản vá chính thức hay mã định danh CVE .

Ai Có Nguy Cơ Bị Tấn Công?

Hồ sơ của một hệ thống dễ bị tấn công phổ biến một cách đáng ngạc nhiên. Exploit này ảnh hưởng đến bất kỳ thiết bị Windows nào sử dụng BitLocker ở chế độ chỉ TPM và đã từng chạy Microsoft Defender Offline Scan ít nhất một lần .

Trong chế độ chỉ TPM, Mô-đun Nền tảng Đáng tin cậy (TPM) sẽ tự động bàn giao khóa mã hóa trong quá trình khởi động, đó là lý do tại sao exploit hoạt động trơn tru một khi máy bị ép vào môi trường WinRE đáng tin cậy. Kẻ tấn công không cần biết mật khẩu hay sở hữu khóa khôi phục – chỉ cần quyền truy cập vật lý vào máy tính xách tay hoặc máy trạm và đủ thời gian cho một lần khởi động lại .

Điều này khiến máy tính xách tay, máy trạm di động và các thiết bị di động khác trở thành mục tiêu chính cho hành vi trộm cắp trong doanh nghiệp hoặc các cuộc tấn công kiểu "người giúp việc độc ác" (evil maid) chớp nhoáng. Máy chủ cũng bị ảnh hưởng, mặc dù yêu cầu về quyền truy cập vật lý khiến chúng ít có khả năng là mục tiêu trong hầu hết các mô hình mối đe dọa.

Các Biện Pháp Giảm Thiểu Cho Đến Khi Microsoft Ra Bản Vá

Chưa có bản vá chính thức nào cho GreatXML. Các tổ chức nên ngay lập tức thực hiện các biện pháp kiểm soát bù đắp thay vì chờ đợi Microsoft hành động .

1. Chuyển từ xác thực chỉ TPM sang TPM+PIN. Đây là giải pháp thay thế hiệu quả nhất. Việc cấu hình BitLocker để yêu cầu TPM với mã PIN (hoặc TPM cộng với khóa khởi động USB) có nghĩa là ngay cả khi kẻ tấn công khởi động lại thiết bị vào WinRE, ổ đĩa sẽ không mở khóa nếu không có mã PIN .
2. Áp dụng các biện pháp kiểm soát danh sách cho phép ứng dụng (allowlisting). Các giải pháp như ThreatLocker có thể được cấu hình để chặn các tệp nhị phân, tập lệnh và file thiết lập XML trái phép thực thi trong môi trường khôi phục, phá vỡ chuỗi thực thi của cuộc tấn công .
3. Thắt chặt an ninh vật lý cho các thiết bị có rủi ro cao. Coi bất kỳ thiết bị nào đã từng trải qua quá trình quét ngoại tuyến của Defender là có lỗ hổng thường trực. Tăng cường kiểm soát truy cập vật lý và giám sát việc xử lý trái phép cho đến khi có bản vá .
4. Kiểm toán môi trường của bạn. Xác định những máy nào đã chạy quét ngoại tuyến. Nếu không có điều kiện tiên quyết đó, exploit không thể được dàn dựng, vì vậy việc xác định các thiết bị đó giúp ưu tiên các biện pháp giảm thiểu ngay lập tức.

Cộng đồng bảo mật đang coi GreatXML là một exploit khả thi về mặt kỹ thuật, được công bố rộng rãi nhưng chưa được xác thực đầy đủ từ bên ngoài . Đối với các đội ngũ phòng thủ, điều đó có nghĩa là giả định an toàn nhất là mọi hệ thống đủ điều kiện đều có thể bị khai thác cho đến khi có bằng chứng ngược lại.