YellowKey: חוקר פרסם קוד לעקיפת BitLocker ב-Windows 11, בלי תיקון ב-13 במאי
ב-13 במאי 2026 פרסם חוקר קוד שעוקף את BitLocker דרך סביבת השחזור של Windows 11. לפי BleepingComputer, Microsoft עדיין לא פרסמה תיקון, והתוקף צריך גישה פיזית למחשב.
TL;DR בקצרה
- YellowKey עוקף את BitLocker דרך סביבת השחזור WinRE, לפי חוקר שמכנה את עצמו Nightmare-Eclipse.
- הקוד עובד כש-BitLocker מוגדר עם TPM בלבד. לדברי וויל דורמן, הוא לא עובד מול TPM עם PIN.
- החוקר פרסם גם את GreenPlasma, חולשת הרמת הרשאות ב-CTFMON, אבל הקוד שלה חלקי.
- מה קרה מאז: ב-19 במאי פרסמה Microsoft את CVE-2026-45585, וב-9 ביוני יצא תיקון.
ב-13 במאי 2026 דיווחה BleepingComputer שחוקר בשם Nightmare-Eclipse פרסם את YellowKey, קוד שעוקף את BitLocker ב-Windows 11. BitLocker הוא ההצפנה שמגינה על הדיסק במחשבי Windows. לפי BleepingComputer, עד אותו יום לא היה תיקון, והתוקף צריך גישה פיזית למחשב.
YellowKey: איך עוקפים את BitLocker דרך סביבת השחזור
YellowKey מנצל את סביבת השחזור של Windows, שנקראת WinRE. התוקף שם קבצים מיוחדים בשם FsTx על כונן USB, או במחיצת ה-EFI. אחר כך הוא מאתחל את המחשב לסביבת השחזור ומחזיק את מקש CTRL. לפי החוקר, מופיע חלון פקודות עם גישה חופשית לכונן המוצפן.
וויל דורמן (Will Dormann) מ-Tharros Labs אישר שהקוד עובד עם קבצי FsTx על כונן USB. לדבריו, Windows מחפש בכוננים מחוברים תיקיית FsTx, ומשחזר את יומן NTFS. התהליך מוחק את הקובץ winpeshl.ini. לכן סביבת השחזור פותחת CMD במקום המסך הרגיל, והדיסק נשאר פתוח.
דורמן לא הצליח לשחזר את התקיפה דרך מחיצת ה-EFI. קווין בומונט (Kevin Beaumont) אישר שהקוד תקף, והסכים עם החוקר שמדובר בדלת אחורית. Microsoft מסרה ל-BleepingComputer רק תגובה כללית. היא מחויבת לחקור בעיות אבטחה שדווחו, ותעדכן מכשירים מושפעים בהקדם האפשרי.
YellowKey בפועל: מי בסיכון ומי לא
לפי BleepingComputer, הקוד עובד כש-BitLocker מוגדר עם TPM בלבד. זו ההגדרה שפותחת את הדיסק אוטומטית, בלי שהמשתמש מקליד דבר. דורמן מסביר שזה בדיוק מה שהקוד מנצל.
עם TPM ועוד PIN, הקוד הנוכחי לא עובד, כי הוא נשען על הפתיחה האוטומטית. החוקר טוען שגם הגרסה הזו ניתנת לניצול. הוא לא פרסם קוד שמוכיח זאת.
יש גם הבדל בין כונן גנוב לבין מחשב גנוב. הקוד הנוכחי לא עובד על כונן שהוצא מהמחשב, כי מפתחות ההצפנה נשארים ב-TPM של המכשיר המקורי. אבל מחשב נייד שלם שאבד או נגנב נשאר חשוף, וזה בדיוק המצב שבו ההצפנה אמורה להגן עליכם.
GreenPlasma ורקע: חוקר שמפרסם בלי תיאום
יחד עם YellowKey פרסם החוקר את GreenPlasma. זו חולשת הרמת הרשאות ב-CTFMON. משתמש בלי הרשאות יכול ליצור אובייקטי זיכרון בתיקיות ש-SYSTEM כותב אליהן, ולהגיע בעזרתם לחלון פקודות עם הרשאות SYSTEM. הקוד שפורסם חלקי, ולא כולל את הרכיב שנדרש להשתלטות מלאה.
זה לא הפרסום הראשון של החוקר. בעבר הוא חשף את BlueHammer (CVE-2026-33825) ואת RedSun, שתי חולשות הרמת הרשאות מקומית. לפי BleepingComputer, תוקפים ניצלו אותן זמן קצר אחרי הפרסום. החוקר טוען ש-Microsoft תיקנה את RedSun בשקט, בלי מספר CVE. הוא גם רמז על ״הפתעה גדולה״ ב-Patch Tuesday הבא.
מה קרה מאז YellowKey
ב-19 במאי פרסמה Microsoft את CVE-2026-45585, חולשת עקיפת BitLocker בדירוג CVSS 6.8. היא סימנה שהחולשה כבר הייתה ידועה לציבור, ושאיש לא ניצל אותה. לפי הדף של Microsoft, היא משפיעה על Windows 11 בגרסאות 24H2, 25H2 ו-26H1, ועל Windows Server 2025.
עד שיצא תיקון, Microsoft הציעה שתי דרכים להקטין את הסיכון. הראשונה היא להסיר את autofstx.exe מסביבת השחזור, ובהמשך היא הוסיפה לכך סקריפט אוטומטי. השנייה היא להוסיף PIN ל-BitLocker. ב-9 ביוני יצא תיקון, ובו KB5094126 ל-Windows 11 בגרסאות 24H2 ו-25H2.
מה זה אומר עבורכם
- הוסיפו PIN להפעלה: במחשבים ניידים עם מידע רגיש, עברו מ-TPM בלבד ל-TPM עם PIN. Microsoft עצמה הציעה זאת כדרך להקטין את הסיכון.
- הגנו על ה-BIOS: בומונט המליץ על סיסמת BIOS, לצד ה-PIN. זו שכבת הגנה נוספת מול מי שמחזיק את המחשב בידיים.
- התקינו את עדכון יוני: בדקו בדף CVE-2026-45585 את ה-KB שמתאים לגרסה שלכם. ב-Windows 11 בגרסאות 24H2 ו-25H2 זה KB5094126.
- הניחו שמחשב שאבד חשוף: עד שהתקנתם תיקון, חשבו על מחשב נייד שנגנב כעל מחשב שהמידע בו נחשף. החליפו סיסמאות ובטלו חיבורים פעילים.
- בדקו את כל המחשבים הניידים: בדקו בכל מחשב נייד אם BitLocker מוגדר עם TPM בלבד. המחשבים האלה הם היעד העיקרי של הקוד.
מקורות והרחבה
- Windows BitLocker zero-day gives access to protected drives, PoC releasedBleepingComputer
- Windows BitLocker Security Feature Bypass Vulnerability (CVE-2026-45585)Microsoft MSRC
- Microsoft provides mitigation for YellowKey BitLocker bypass flaw (CVE-2026-45585)Help Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
