Luka YellowKey w BitLockerze – co oznacza dla firm i jak się zabezpieczyć

Na początku maja 2026 roku w sieci pojawiły się szczegóły podatności, która zaniepokoiła administratorów i specjalistów ds. bezpieczeństwa. Badacz występujący pod pseudonimem Nightmare-Eclipse opublikował opis luki w systemie szyfrowania dysków BitLocker, nazwanej YellowKey. Choć exploit wymaga fizycznego dostępu do komputera, jego skuteczność w domyślnej konfiguracji Windows 11 budzi obawy – zwłaszcza w organizacjach, które polegają na BitLockerze jako podstawowym zabezpieczeniu danych.

Czym jest YellowKey i jak działa

YellowKey to podatność określana mianem zero-day, ponieważ w momencie publikacji Microsoft nie udostępnił jeszcze oficjalnej łatki. Jak opisano na łamach serwisu Sekurak, atak polega na umieszczeniu w komputerze przygotowanego pendrive’a z odpowiednimi plikami, a następnie zrestartowaniu systemu w trybie recovery. Po restarcie automatycznie uruchamia się wiersz poleceń, a osoba atakująca uzyskuje dostęp do danych, które – przynajmniej w teorii – powinny być chronione szyfrowaniem BitLocker.

Co istotne, pliki z pendrive’a po restarcie znikają, co – jak zauważają niektórzy komentatorzy – może sugerować, że mechanizm ten przypomina funkcję testową lub backdoor, którego zapomniano wyłączyć w wersji produkcyjnej. Na razie Microsoft nie potwierdził tej hipotezy.

Kogo dotyczy zagrożenie

Podatność została potwierdzona w systemach Windows 11, Windows Server 2022 oraz Windows Server 2025, ale tylko w konfiguracji, w której klucz szyfrujący przechowywany jest wyłącznie w module TPM (Trusted Platform Module) – czyli w tzw. trybie TPM only. Jak zauważa Bruce Schneier na swoim blogu, exploit jest skuteczny, ale wymaga fizycznego dostępu do maszyny. Oznacza to, że najbardziej narażone są laptopy i komputery, które mogą zostać skradzione lub do których osoba nieuprawniona ma dostęp przez dłuższy czas – na przykład w biurze, podczas podróży służbowej czy w miejscach publicznych.

Dla organizacji, które wdrożyły dodatkowe warstwy zabezpieczeń – takie jak hasło do BitLockera, PIN przy starcie czy klucz odzyskiwania – ryzyko jest mniejsze. Jednak w domyślnej konfiguracji Windows 11, gdzie ochrona opiera się wyłącznie na TPM, luka stanowi realne zagrożenie.

Jak się zabezpieczyć przed atakiem

Do czasu wydania oficjalnej łatki przez Microsoft, administratorzy mogą podjąć kilka kroków, które znacząco utrudnią wykorzystanie podatności. Przede wszystkim warto rozważyć zmianę konfiguracji BitLockera – zamiast trybu TPM only włączyć uwierzytelnianie dodatkowe, np. PIN przy starcie systemu lub klucz USB. W przypadku laptopów firmowych kluczowe jest również stosowanie szyfrowania całego dysku wraz z mechanizmem odzyskiwania, który nie opiera się wyłącznie na TPM.

Drugim ważnym elementem jest fizyczne zabezpieczenie sprzętu. Komputery przenośne powinny być przechowywane w zamkniętych pomieszczeniach, a w podróży – w zamykanych torbach lub sejfach. Warto także wdrożyć politykę blokowania stacji roboczych po wyjęciu nośnika z portu USB, co może utrudnić atakującemu wykonanie całej procedury.

Nie bez znaczenia jest również monitorowanie logów systemowych pod kątem nietypowych restartów czy prób uruchomienia trybu recovery. Narzędzia EDR (Endpoint Detection and Response) mogą pomóc w wykryciu anomalii, które poprzedzają próbę wykorzystania luki.

Co dalej – czekamy na łatkę

Microsoft – jak podaje BleepingComputer – zapowiedział już prace nad aktualizacją, która ma załatać podatność. Na razie jednak nie podano konkretnej daty wydania poprawki. W międzyczasie administratorzy powinni śledzić komunikaty z CERT Polska oraz oficjalne biuletyny bezpieczeństwa Microsoftu. YellowKey to kolejny przykład, że nawet uznane mechanizmy ochrony – jak szyfrowanie pełnego dysku – mogą mieć słabe punkty, jeśli polegają wyłącznie na domyślnej konfiguracji. Warto wyciągnąć z tego wnioski i już teraz dostosować swoje zabezpieczenia, zanim pojawi się kolejna podobna luka.