YellowKey（CVE‑2026‑45585）：利用 WinRE 繞過 BitLocker 的零日漏洞解析

即使如此，這類漏洞仍相當重要，因為許多企業的安全假設是：只要磁碟使用 BitLocker 加密，即使設備被偷走，資料仍然安全。

YellowKey 攻擊原理：WinRE 與 FsTx 檔案

公開的概念驗證（PoC）顯示，攻擊主要利用 Windows Recovery Environment（WinRE） 的檔案系統處理機制。WinRE 是 Windows 用於修復或排除開機問題的內建工具。

簡化後的攻擊流程如下：

• 攻擊者準備一個 USB 裝置或 EFI 分割區，內含 特製的 FsTx（Transactional NTFS）檔案。
• 目標電腦被重新啟動並進入 WinRE。
• WinRE 在復原流程中處理這些惡意 FsTx 檔案時，可能觸發漏洞並啟動 系統 shell。
• 該 shell 能存取系統磁碟，而此時 原本受 BitLocker 保護的磁碟區可能被直接讀取。

報導指出，這等同於在復原流程中暫時繞過 BitLocker 的加密保護，使攻擊者能取得敏感資料。

為什麼「需要實體存取」仍然是重大風險

雖然 YellowKey 不是遠端漏洞，但實際攻擊場景仍然常見，例如：

• 筆電遺失或被偷
• 出差或過境時設備被暫時扣留
• 無人看管的辦公室工作站
• 分公司設備或公共終端（kiosk）

如果系統使用 僅 TPM 的 BitLocker 自動解鎖模式（TPM‑only），風險可能更高，因為裝置在開機時不需要使用者輸入任何認證即可解鎖磁碟。

微軟目前建議的緩解措施

在漏洞公開時，微軟尚未發布完整修補程式，而是提供管理員可立即部署的暫時性防護措施。

1. 移除 autofstx.exe 的 BootExecute 項目

微軟建議在 WinRE 映像檔的 BootExecute 登錄值中移除 autofstx.exe。

這樣可阻止 Transactional NTFS 的重播機制，而這正是 YellowKey 攻擊利用的關鍵行為。

2. 啟用 BitLocker 的 TPM + PIN

建議將 BitLocker 驗證模式改為 TPM + PIN。

這代表在開機時必須輸入使用者設定的 PIN，增加一層預開機驗證，使僅憑實體存取的攻擊更難成功。

3. 強化開機與復原安全設定

企業也可採取額外的防禦措施，例如：

• 停用或限制 USB／外部裝置開機
• 為 UEFI / BIOS 設定強密碼
• 確保 Secure Boot 已啟用
• 監控 WinRE 或開機設定是否被修改

這些措施可降低攻擊者進入復原環境並利用漏洞的可能性。

揭露 YellowKey 的研究人員

YellowKey 由使用別名 Chaotic Eclipse（也稱 Nightmare‑Eclipse）的安全研究人員公開披露，並發布了概念驗證程式碼。

報導指出，這是該研究人員近期公開的一系列 Windows 漏洞之一，其中包括其他針對微軟元件的零日問題。

安全專家普遍認為，一旦 PoC 被公開，在官方修補程式發布前，漏洞被濫用的門檻會顯著降低。

在修補程式發布前應監控的安全訊號

企業安全團隊可留意以下跡象，以偵測可能的攻擊活動：

• 不尋常或未授權的 WinRE 開機事件
• WinRE 映像檔或 BootExecute 設定變更
• 開機順序、EFI 分割區或 Secure Boot 狀態被修改
• 未授權的 USB 開機嘗試
• BitLocker 保護器或 TPM 設定異常變更

這些事件都可能表示有人試圖操控系統的開機或復原流程。

從 YellowKey 看磁碟加密的安全邊界

YellowKey 提醒了一個重要原則：磁碟加密本身並不能完全保證安全，如果攻擊者能操控系統的開機或復原鏈。

開機載入程式、復原環境、韌體設定與加密機制其實位於同一個信任邊界。一旦其中任何環節出現漏洞，就可能削弱整體保護。

因此，在依賴 BitLocker 保護資料的環境中，仍然需要結合：

• 預開機驗證
• 韌體安全控制
• 嚴格的開機管理策略

在微軟發布完整修補程式之前，這些措施仍是降低 CVE‑2026‑45585 風險的重要防線。