Исследователь под псевдонимом Chaotic Eclipse (Nightmare-Eclipse), ранее раскрывший три уязвимости в Microsoft Defender, опубликовал информацию о двух новых неисправленных уязвимостях нулевого дня в Windows: YellowKey — обход шифрования BitLocker через среду восстановления Windows (WinRE), и GreenPlasma — эскалация привилегий через компонент Windows CTFMON. Обе уязвимости затрагивают Windows 11 и Windows Server 2022/2025, для обеих доступны публичные PoC-материалы, однако Microsoft пока не выпустила официальных рекомендаций. Организациям, использующие BitLocker без предзагрузочной аутентификации PIN-кодом, следует немедленно пересмотреть конфигурацию защиты дисков.

YellowKey: обход BitLocker через транзакционный NTFS

Уязвимость YellowKey представляет собой обход полнодискового шифрования BitLocker, эксплуатируемый исключительно через среду восстановления Windows (WinRE). По данным исследователя, атака выполняется следующим образом:

1. На USB-накопитель или раздел EFI помещаются специально сформированные файлы в директории FsTx (механизм транзакционного NTFS)
2. USB-накопитель подключается к целевой машине с активированным BitLocker
3. Система перезагружается в WinRE
4. Удержание клавиши CTRL вызывает командную оболочку с доступом к расшифрованному тому

Ключевой технический аспект подтвердил независимый исследователь Уилл Дорманн, который сообщил о успешном воспроизведении уязвимости: транзакционные структуры NTFS на USB-накопителе способны удалить файл winpeshl.ini на другом томе (X:), что приводит к запуску cmd.exe вместо штатной среды восстановления — при этом том BitLocker уже расшифрован. Дорманн отдельно подчеркнул, что сама способность директории \System Volume Information\FsTx на одном томе модифицировать содержимое другого тома при воспроизведении транзакций является самостоятельной уязвимостью.

По утверждению исследователя, защита TPM+PIN не предотвращает эксплуатацию YellowKey. Однако это заявление исходит из единственного источника и пока не подтверждено независимо. Для эксплуатации требуется физический доступ к устройству.

GreenPlasma: неполная, но перспективная эскалация привилегий

Вторая уязвимость, GreenPlasma, связана с произвольным созданием объектов секций памяти через компонент Windows Collaborative Translation Framework (CTFMON). В текущем виде опубликованный PoC неполон — он не демонстрирует получение полноценной оболочки с правами SYSTEM. Тем не менее эксплойт позволяет непривилегированному пользователю создавать произвольные объекты секций памяти внутри объектов директорий, доступных для записи процессам уровня SYSTEM. Это потенциально открывает возможность манипуляции привилегированными сервисами или драйверами, которые неявно доверяют этим путям.

Несмотря на неполноту текущего PoC, примитив произвольного создания секций в привилегированных директориях является серьёзной предпосылкой для полноценной эскалации привилегий. Доработка эксплойта до рабочего состояния — вопрос времени и квалификации атакующего.

Контекст: эскалация конфликта с Microsoft

Публикация YellowKey и GreenPlasma произошла примерно через месяц после раскрытия тем же исследователем трёх уязвимостей в Microsoft Defender — BlueHammer, RedSun и UnDefend. Из них BlueHammer получила идентификатор CVE-2026-33825 и была исправлена Microsoft. По заявлению исследователя, RedSun была устранена «тихо», без публикации рекомендации — однако это утверждение не подтверждено независимыми источниками.

Исследователь открыто выражает неудовлетворённость процессом обработки уязвимостей со стороны MSRC и анонсировал «большой сюрприз» для Microsoft, приуроченный к июньскому Patch Tuesday 2026. Представитель Microsoft ранее заявлял о приверженности компании координированному раскрытию уязвимостей и обязательству расследовать все сообщения о проблемах безопасности.

Параллельное исследование: даунгрейд-атака на BitLocker

Параллельно с раскрытием YellowKey французская компания Intrinsec описала отдельную цепочку атаки на BitLocker через понижение версии загрузчика. Метод эксплуатирует фундаментальную особенность Secure Boot: проверяется только сертификат подписи бинарного файла, но не его версия. Это позволяет загрузить старую уязвимую версию bootmgfw.efi, подписанную доверенным сертификатом PCA 2011.

Суть атаки: в файл SDI (System Deployment Image) добавляется второй образ WIM с модифицированной таблицей блобов. Загрузчик проверяет целостность первого (легитимного) WIM, но загружается со второго (контролируемого атакующим), содержащего заражённый образ WinRE с cmd.exe. По данным Intrinsec, атака выполняется менее чем за пять минут на полностью обновлённых системах Windows 11 и требует физического доступа.

Согласно документации Microsoft, компания планирует отозвать устаревшие сертификаты PCA 2011 в ближайшее время. До момента отзыва старый уязвимый загрузчик, подписанный этим сертификатом, может быть загружен без срабатывания защиты Secure Boot.

Оценка воздействия

Наибольшему риску от YellowKey подвержены организации, полагающиеся на BitLocker в режиме TPM-only без предзагрузочной аутентификации — типичная конфигурация для корпоративных ноутбуков. Физический доступ к устройству (кража, изъятие, доступ инсайдера) в сочетании с USB-накопителем потенциально позволяет получить доступ к расшифрованным данным. Для GreenPlasma непосредственный риск ниже из-за неполноты PoC, однако сам примитив атаки может быть доработан.

Практические рекомендации

• Включите предзагрузочную аутентификацию BitLocker PIN-кодом — это рекомендация самой Microsoft и наиболее эффективная мера против обоих классов атак на BitLocker
• Мигрируйте цепочку доверия загрузчика на сертификат CA 2023 и отзовите старый сертификат PCA 2011 в соответствии с руководством Microsoft по отзыву загрузчиков
• Ограничьте загрузку с USB через политики UEFI/BIOS на корпоративных устройствах
• Контролируйте физический доступ к критичным системам — обе атаки на BitLocker требуют непосредственного контакта с устройством
• Мониторьте июньский Patch Tuesday 2026 — с учётом анонсированных исследователем новых раскрытий, обновления могут содержать критические исправления

Совокупность YellowKey, GreenPlasma и независимого исследования Intrinsec демонстрирует системную проблему: модель защиты BitLocker в конфигурации TPM-only без предзагрузочного PIN-кода уязвима к нескольким независимым векторам атак при физическом доступе. Приоритетное действие для администраторов — активация BitLocker PIN и миграция на сертификат CA 2023 до отзыва PCA 2011, который запланирован на ближайший месяц.