Dwie luki zero-day w Windows: BitLocker i podwyższenie uprawnień. Co wiemy i jak się chronić
Badacz bezpieczeństwa opublikował dowody koncepcji dla dwóch luk zero-day w Windows 11. Jedna pozwala ominąć szyfrowanie BitLocker przy fizycznym dostępie, druga umożliwia podwyższenie uprawnień do poziomu System. Microsoft bada sprawę, ale na razie nie ma łatki.
W połowie maja 2026 roku społeczność cyberbezpieczeństwa otrzymała niepokojącą wiadomość. Badacz występujący pod pseudonimami Chaotic Eclipse i Nightmare Eclipse opublikował publicznie dowody koncepcji (PoC) dla dwóch luk zero-day w systemie Windows 11. Pierwsza z nich, nazwana YellowKey, pozwala osobie z fizycznym dostępem do komputera ominąć szyfrowanie BitLocker i uzyskać nieograniczony dostęp do zaszyfrowanego woluminu. Druga, GreenPlasma, umożliwia podwyższenie uprawnień w systemie do poziomu System. Microsoft poinformował, że jest świadomy zgłoszeń i prowadzi dochodzenie. Na tę chwilę nie ma dostępnej oficjalnej łatki. Artykuł wyjaśnia, na czym polegają obie podatności, jakie niosą ryzyko i jakie kroki można podjąć, aby zminimalizować zagrożenie.
YellowKey: ominięcie BitLockera przy fizycznym dostępie
BitLocker to wbudowane w Windows narzędzie do szyfrowania całego woluminu, które wykorzystuje moduł TPM (Trusted Platform Module) do ochrony danych w przypadku kradzieży lub zgubienia urządzenia. Jak opisuje SecurityWeek, opublikowany przez badacza kod PoC pozwala atakującemu z fizycznym dostępem do maszyny z Windows 11 ominąć to zabezpieczenie. Według Chaotic Eclipse podstawowa przyczyna leży w komponencie obecnym wyłącznie w obrazie środowiska odzyskiwania Windows (WinRE). Badacz sugeruje, że może to być celowo umieszczone tylne wejście, choć nie ma na to oficjalnych dowodów.
Eksploitacja wymaga skopiowania folderu z PoC na dysk USB, a następnie uruchomienia komputera w środowisku WinRE. Kilku niezależnych badaczy, w tym Kevin Beaumont i Will Dormann, potwierdziło, że exploit działa na najnowszych kompilacjach Windows 11. Co istotne, Chaotic Eclipse ostrzegł, że YellowKey działa również na urządzeniach chronionych kodem PIN TPM, choć nie opublikował kodu dla tego wariantu. Jak zauważył Ross Filipek, CISO Corsica Technologies, „publiczne udostępnienie kodu zero-day zawsze zmienia równanie ryzyka, ponieważ skraca czas między odkryciem a eksploatacją”.
GreenPlasma: podwyższenie uprawnień do System
Druga luka, GreenPlasma, pozwala atakującemu podwyższyć swoje uprawnienia w systemie do najwyższego poziomu – System. Opublikowany przez badacza kod PoC jest okrojony i nie zawiera pełnej ścieżki do uzyskania powłoki System, ale sam fakt istnienia takiej możliwości jest poważnym sygnałem ostrzegawczym. Joshua Roback z Swimlane skomentował: „Nawet przy ograniczeniach obecnego dowodu koncepcji, każda ścieżka prowadząca do uprawnień System zasługuje na szczególną uwagę. W pełni wykorzystana, taka eskalacja mogłaby pozwolić atakującym na wyłączenie zabezpieczeń, manipulowanie zaufanymi procesami, wdrażanie złośliwego oprogramowania lub użycie skompromitowanej maszyny jako przyczółka w sieci”.
GreenPlasma tworzy obiekt sekcji pamięci w katalogu zapisywalnym przez System, co może być wykorzystane do manipulacji usługami Windows, w tym sterownikami jądra. To pokazuje, że nawet niepełny kod PoC stanowi realne zagrożenie, ponieważ może być punktem wyjścia dla atakujących do opracowania w pełni działającego exploita.
Reakcja Microsoftu i kontekst
Microsoft w odpowiedzi na zapytanie SecurityWeek przekazał: „Jesteśmy świadomi rzekomych luk i aktywnie badamy zasadność oraz potencjalne zastosowanie tych twierdzeń na naszych platformach i w usługach. Microsoft jest zobowiązany do badania zgłoszonych problemów bezpieczeństwa i aktualizowania dotkniętych produktów, aby chronić klientów tak szybko, jak to możliwe. Co ważne, wspieramy koordynowane ujawnianie luk”. To oznacza, że na razie nie ma łatki, a jedyną ochroną jest ostrożność i stosowanie sprawdzonych praktyk.
Warto przypomnieć, że ten sam badacz w kwietniu 2026 roku opublikował kod PoC dla luki BlueHammer w Windows Defender, którą Microsoft załatał w ramach Patch Tuesday. Atakujący zaczęli ją wykorzystywać już cztery dni przed wydaniem poprawek. To pokazuje, że publiczne ujawnienie kodu PoC znacząco przyspiesza czas do pierwszych ataków.
Jak się chronić? Praktyczne kroki defensywne
Dopóki Microsoft nie wyda oficjalnych poprawek, kluczowe znaczenie ma fizyczne zabezpieczenie urządzeń. YellowKey wymaga fizycznego dostępu do komputera, dlatego podstawową ochroną jest uniemożliwienie nieupoważnionym osobom kontaktu z maszyną. Dotyczy to zwłaszcza laptopów służbowych i prywatnych, które mogą być pozostawione bez nadzoru.
Administratorzy powinni rozważyć dodatkowe zabezpieczenia, takie jak:
- Włączenie funkcji BitLocker z PINem TPM – choć YellowKey może go ominąć, to w niektórych implementacjach WinRE atak może być utrudniony.
- Kontrola dostępu fizycznego do pomieszczeń, w których znajdują się wrażliwe stacje robocze.
- Monitorowanie logów zdarzeń pod kątem prób uruchomienia środowiska odzyskiwania (WinRE) przez nieupoważnione osoby.
- Stosowanie szyfrowania całego dysku z dodatkowym hasłem przed rozruchem (np. w oprogramowaniu firm trzecich), jeśli to możliwe.
- Regularne tworzenie kopii zapasowych danych – w przypadku kompromitacji można przywrócić system z czystej kopii.
W przypadku GreenPlasma, która nie wymaga fizycznego dostępu, ale już pewnego poziomu uprawnień, kluczowe jest stosowanie zasady najmniejszych uprawnień i ograniczanie kont użytkowników. Warto również śledzić komunikaty Microsoftu i planować wdrożenie poprawek, gdy tylko zostaną udostępnione.
Eksperci, tacy jak Ross Filipek, ostrzegają, że publiczne kody zero-day zawsze zmieniają krajobraz ryzyka. Nawet jeśli exploit ma ograniczenia, stanowi punkt wyjścia dla atakujących. Dlatego tak ważne jest, aby nie lekceważyć tych doniesień i podjąć odpowiednie środki ostrożności.
Będziemy na bieżąco informować o dalszym rozwoju sytuacji, w tym o ewentualnych poprawkach ze strony Microsoftu. Na razie najrozsądniejszą reakcją jest zwiększenie czujności i fizyczna ochrona urządzeń z systemem Windows 11.
