Nightmare Eclipse 形容呢個係「意外發現」，只係用咗四個鐘頭嘅研究就搵到 。任何曾經執行過 Microsoft Defender 離線掃描嘅 BitLocker 保護裝置，而家都暴露喺風險之中。

GreatXML 點樣繞過 BitLocker 加密

GreatXML 嘅核心係濫用 Windows 修復基礎架構內部嘅深度信任關係。BitLocker 原本設計嚟保護數據，但當系統進入 WinRE 呢類受信任嘅修復環境時，BitLocker 會自動解鎖——而呢個正正係 Microsoft Defender 離線掃描用到嘅環境。

攻擊步驟如下：

1. 隱藏嘅先決條件： 目標裝置必須至少執行過一次 Microsoft Defender 離線掃描。呢個動作會喺修復分割區留低一啲合法嘅檔案，包括一個 XML 格式嘅設定檔同一個 Recovery 目錄 。呢啲檔案就係攻擊嘅切入點。
2. 植入惡意檔案： 攻擊者只要有短暫嘅物理接觸權限，就可以將一個特製嘅 XML 檔案同一個修改過嘅 Recovery 資料夾複製到裝置嘅修復分割區 。
3. 重新開機觸發： 將裝置重新開機進入 Windows 修復模式（WinRE）。因為修復環境同佢嘅設定檔被視為 Defender 離線掃描流程嘅可信來源，BitLocker 會釋放磁碟加密金鑰，唔會要求任何密碼、PIN 或修復金鑰 。
4. 取得 SYSTEM 權限： 特製嘅 XML 檔案喺啟動時會自動執行，觸發一個以 NT AUTHORITY\SYSTEM 權限執行嘅命令提示字元。攻擊者可以透過呢個命令提示字元讀取、複製或修改加密磁碟上嘅所有檔案 。

Hive Security 形容得好貼切：「呢個檔案做咗佢設計要做嘅嘢——只係落錯咗人手，喺錯嘅時間，喺 BitLocker 信任到會唔掂啲金鑰嘅唯一環境入面」。

背後嘅故事：Nightmare Eclipse 嘅連環攻勢

GreatXML 唔係單一事件，而係 Nightmare Eclipse 自 2026 年 4 月以嚟公布嘅第七個零日漏洞 。呢位研究員同 Microsoft 因為漏洞處理程序問題展開咗長達數月嘅公開罵戰，每次公布漏洞都附帶完整嘅概念驗證（PoC）程式碼，Microsoft 指責呢種行為「令客戶承受不必要嘅風險」。

下表係 Nightmare Eclipse 喺 2026 年公布嘅漏洞同截至 6 月中嘅狀態：

BlueHammer 係 Windows Defender 嘅本地權限提升漏洞，CVSS 評分 7.8 。RedSun 同 UnDefend 分別攻擊 Defender 嘅雲端檔案回滾同簽名更新機制 。YellowKey 係一個更早期嘅 BitLocker 繞過漏洞，而 GreenPlasma 係一個 CTFMON 嘅本地權限提升漏洞 。

最新嘅 RoguePlanet，喺 GreatXML 公布前一日發布，利用 Microsoft Defender 嘅時機檢測競賽條件漏洞，喺完全更新嘅系統上取得 SYSTEM 權限 。

2026年6月Patch星期二：邊啲漏洞被修補？

Microsoft 喺2026年6月9日嘅 Patch 星期二修補咗超過 200 個漏洞，包括六個零日漏洞 。Nightmare Eclipse 公布嘅漏洞中，有兩個被修補：

• GreenPlasma (CVE-2026-45586) 已修補
• YellowKey (CVE-2026-50507) 已修補

但 RoguePlanet 同 GreatXML 都唔喺更新列表入面。截至最新報導，呢兩個漏洞都冇官方修補程式或 CVE 編號 。

邊啲系統有風險？

受影響系統嘅特徵其實好常見。任何使用 BitLocker 嘅 TPM-only 模式 嘅 Windows 裝置，只要執行過至少一次 Microsoft Defender 離線掃描，都會中招 。

喺 TPM-only 模式下，可信平台模組會喺開機時自動交出加密金鑰，所以攻擊者只要令系統進入 WinRE 環境，就可以成功繞過 BitLocker。攻擊者唔需要知道任何密碼或擁有修復金鑰，只需要有物理接觸同一次重新開機嘅時間 。

因此，手提電腦、可攜式工作站同其他流動裝置 係企業中最可能成為目標嘅設備。伺服器雖然都有影響，但因為需要物理接觸，喺大部分威脅模型入面風險較低。

Microsoft 修補前嘅即時防護措施

GreatXML 暫時冇官方修補程式。企業應該立即採取補償性控制措施，而唔係等 Microsoft 採取行動 。

1. 將 TPM-only 模式轉為 TPM+PIN 認證。 呢個係最有效嘅臨時方案。將 BitLocker 設定為需要 TPM 加 PIN（或 TPM 加 USB 啟動金鑰），就算攻擊者將裝置重新開機入 WinRE，冇 PIN 碼都解唔到鎖 。
2. 應用程式白名單控制。 使用 ThreatLocker 等解決方案，阻止未經授權嘅二進制檔案、指令碼同 XML 設定檔喺修復環境入面執行，截斷攻擊鏈 。
3. 加強高風險裝置嘅物理保安。 將所有曾經執行過 Defender 離線掃描嘅裝置視為有潛在漏洞，加強物理存取控制，監察有冇未經授權嘅處理，直至有修補程式為止 。
4. 審計環境。 確定邊啲裝置執行過離線掃描。因為冇呢個先決條件，攻擊就無法進行，所以搵出呢啲裝置可以優先處理緩解措施。

網絡安全社群認為 GreatXML 係一個技術上可行、已公開可用嘅漏洞，雖然缺乏完整嘅外部驗證 。對防守團隊嚟講，最安全嘅假設係：每個符合條件嘅系統都係可被攻擊嘅，直到證明相反為止。

Nightmare Eclipse 形容呢個係「意外發現」，只係用咗四個鐘頭嘅研究就搵到 。任何曾經執行過 Microsoft Defender 離線掃描嘅 BitLocker 保護裝置，而家都暴露喺風險之中。

GreatXML 點樣繞過 BitLocker 加密

GreatXML 嘅核心係濫用 Windows 修復基礎架構內部嘅深度信任關係。BitLocker 原本設計嚟保護數據，但當系統進入 WinRE 呢類受信任嘅修復環境時，BitLocker 會自動解鎖——而呢個正正係 Microsoft Defender 離線掃描用到嘅環境。

攻擊步驟如下：

1. 隱藏嘅先決條件： 目標裝置必須至少執行過一次 Microsoft Defender 離線掃描。呢個動作會喺修復分割區留低一啲合法嘅檔案，包括一個 XML 格式嘅設定檔同一個 Recovery 目錄 。呢啲檔案就係攻擊嘅切入點。
2. 植入惡意檔案： 攻擊者只要有短暫嘅物理接觸權限，就可以將一個特製嘅 XML 檔案同一個修改過嘅 Recovery 資料夾複製到裝置嘅修復分割區 。
3. 重新開機觸發： 將裝置重新開機進入 Windows 修復模式（WinRE）。因為修復環境同佢嘅設定檔被視為 Defender 離線掃描流程嘅可信來源，BitLocker 會釋放磁碟加密金鑰，唔會要求任何密碼、PIN 或修復金鑰 。
4. 取得 SYSTEM 權限： 特製嘅 XML 檔案喺啟動時會自動執行，觸發一個以 NT AUTHORITY\SYSTEM 權限執行嘅命令提示字元。攻擊者可以透過呢個命令提示字元讀取、複製或修改加密磁碟上嘅所有檔案 。

Hive Security 形容得好貼切：「呢個檔案做咗佢設計要做嘅嘢——只係落錯咗人手，喺錯嘅時間，喺 BitLocker 信任到會唔掂啲金鑰嘅唯一環境入面」。

背後嘅故事：Nightmare Eclipse 嘅連環攻勢

GreatXML 唔係單一事件，而係 Nightmare Eclipse 自 2026 年 4 月以嚟公布嘅第七個零日漏洞 。呢位研究員同 Microsoft 因為漏洞處理程序問題展開咗長達數月嘅公開罵戰，每次公布漏洞都附帶完整嘅概念驗證（PoC）程式碼，Microsoft 指責呢種行為「令客戶承受不必要嘅風險」。

下表係 Nightmare Eclipse 喺 2026 年公布嘅漏洞同截至 6 月中嘅狀態：

BlueHammer 係 Windows Defender 嘅本地權限提升漏洞，CVSS 評分 7.8 。RedSun 同 UnDefend 分別攻擊 Defender 嘅雲端檔案回滾同簽名更新機制 。YellowKey 係一個更早期嘅 BitLocker 繞過漏洞，而 GreenPlasma 係一個 CTFMON 嘅本地權限提升漏洞 。

最新嘅 RoguePlanet，喺 GreatXML 公布前一日發布，利用 Microsoft Defender 嘅時機檢測競賽條件漏洞，喺完全更新嘅系統上取得 SYSTEM 權限 。

2026年6月Patch星期二：邊啲漏洞被修補？

Microsoft 喺2026年6月9日嘅 Patch 星期二修補咗超過 200 個漏洞，包括六個零日漏洞 。Nightmare Eclipse 公布嘅漏洞中，有兩個被修補：

• GreenPlasma (CVE-2026-45586) 已修補
• YellowKey (CVE-2026-50507) 已修補

但 RoguePlanet 同 GreatXML 都唔喺更新列表入面。截至最新報導，呢兩個漏洞都冇官方修補程式或 CVE 編號 。

邊啲系統有風險？

受影響系統嘅特徵其實好常見。任何使用 BitLocker 嘅 TPM-only 模式 嘅 Windows 裝置，只要執行過至少一次 Microsoft Defender 離線掃描，都會中招 。

喺 TPM-only 模式下，可信平台模組會喺開機時自動交出加密金鑰，所以攻擊者只要令系統進入 WinRE 環境，就可以成功繞過 BitLocker。攻擊者唔需要知道任何密碼或擁有修復金鑰，只需要有物理接觸同一次重新開機嘅時間 。

因此，手提電腦、可攜式工作站同其他流動裝置 係企業中最可能成為目標嘅設備。伺服器雖然都有影響，但因為需要物理接觸，喺大部分威脅模型入面風險較低。

Microsoft 修補前嘅即時防護措施

GreatXML 暫時冇官方修補程式。企業應該立即採取補償性控制措施，而唔係等 Microsoft 採取行動 。

1. 將 TPM-only 模式轉為 TPM+PIN 認證。 呢個係最有效嘅臨時方案。將 BitLocker 設定為需要 TPM 加 PIN（或 TPM 加 USB 啟動金鑰），就算攻擊者將裝置重新開機入 WinRE，冇 PIN 碼都解唔到鎖 。
2. 應用程式白名單控制。 使用 ThreatLocker 等解決方案，阻止未經授權嘅二進制檔案、指令碼同 XML 設定檔喺修復環境入面執行，截斷攻擊鏈 。
3. 加強高風險裝置嘅物理保安。 將所有曾經執行過 Defender 離線掃描嘅裝置視為有潛在漏洞，加強物理存取控制，監察有冇未經授權嘅處理，直至有修補程式為止 。
4. 審計環境。 確定邊啲裝置執行過離線掃描。因為冇呢個先決條件，攻擊就無法進行，所以搵出呢啲裝置可以優先處理緩解措施。

網絡安全社群認為 GreatXML 係一個技術上可行、已公開可用嘅漏洞，雖然缺乏完整嘅外部驗證 。對防守團隊嚟講，最安全嘅假設係：每個符合條件嘅系統都係可被攻擊嘅，直到證明相反為止。