Windows BitLockerの回避手法GreatXMLの公開
研究者Nightmare Eclipseの2026年6月10日〔注1〕のブログ投稿によると、Defenderのオフラインスキャンを一度でも使おうとした端末は、手法GreatXMLによるBitLockerの回避に自動的に脆弱になる［5］。Rapid7とCrowdStrikeは、7月の月例更新で出たCVE-2026-50661がGreatXMLの修正である可能性を挙げ、確認はされていないとした〔注2〕［8、9］。
脆弱性の内容
研究者の公開と主張
研究者は投稿で、偶然の発見で、見つけるのに計4時間かかったと書いた［5］。詳細の置き場として、GitHubのMSNightmare/GreatXMLなど3か所のコード置き場を挙げた［5］。より多くの状況で機能させられるが、今は関心が無いとも書いた［5］。
SecurityWeekの記事では、Nightmare Eclipseの別名はChaotic Eclipseである［11］。Microsoftの脆弱性開示プログラムでの研究者の扱いに不満を表明した後、Windowsのゼロデイの攻撃コードを公開し続けている［11］。
観測主体の分析
Cyderesは分析で、GreatXMLを設計上の悪用だとした［6］。悪用するのは、Windowsの回復環境（WinRE）、Windowsの応答ファイルの処理、Defenderのオフラインスキャンが端末に残す状態の組み合わせである［6］。メモリ安全性の不具合を突くものでも、BitLockerの暗号の仕組みを直接回避するものでもないとした［6］。
Cyderesの分析では、回復パーティションの直下に書き込むには管理者権限が要り、GreatXMLは侵害後に使う道具で初期侵入の手段ではない［6］。前提として、端末で過去にDefenderのオフラインスキャンが開始されている必要がある［6］。事前のスキャンが無い経路は、研究者が「ありうる」としながら追っていない［6］。PoCはMSNightmareの名でGitHubに公開され、鏡が2か所にあり、協調開示もCVEも修正も無い［6］。
ThreatLockerは記事で、GreatXMLを、主に端末の管理者権限を持つ攻撃者がBitLockerのプロンプトに出会わずにBitLockerを回避できるゼロデイと説明した［7］。
説明の食い違い
Security Affairsが引用したPoCの説明文によると、被害端末でDefenderのオフラインスキャンが一度でも開始されていれば、ログインは要らない［12］。その場合、端末は自動的に脆弱になる［12］。
Microsoft Learnの説明では、Microsoft Defender Offlineのスキャンを使う利用者は、ローカル管理者の権限でサインインしている必要がある［15］。WinREも有効でなければならない［15］。システムドライブでBitLockerが有効なら、実行前に保護を中断するよう案内している［15］。中断しないと、オフライン環境への再起動の際に回復キーを求められることがあるとした［15］。
The Hacker Newsは、セキュリティ研究者の1人がMastodonで、GreatXMLの再現の手順を「flawed」と評したと報じた［10］。この研究者は、オフラインスキャンの起動にはWindowsへのログインと管理者の資格情報が要り、その段階ならBitLockerを無効にするのは容易だと述べた［10］。WinREに2つのファイルを置いてShiftを押しながら再起動すれば自動でオフラインスキャンのモードに入るという説明は、手元のWindows 11の3系統のどれでも成り立たなかったとも述べた［10］。
ThreatLockerの再現では、オフラインスキャンを実行すると端末が再起動し、スキャンの開始時にCMDの端末が開いた［7］。スクリプトの残りの動作（ローカル管理者の作成と、Cドライブのunattend.xmlの読み込み）は起きなかった［7］。Cyderes Howler Cellは、修正をすべて当てたWindows 11の端末でPoCを確かめた［6］。
CVE-2026-50661の内容
MicrosoftはSecurity Update Guideで、Windows BitLockerの保護機構の不備により、認可されていない攻撃者が物理的な攻撃でセキュリティ機能を回避できると説明した［1］。
| 項目 | 値 | 資料 |
|---|---|---|
| 題 | Windows BitLocker Security Feature Bypass Vulnerability | ［1］ |
| CVSS 3.1（Microsoft） | 基本値6.1、現状値5.3（AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N/E:U/RL:O/RC:C） | ［1］ |
| CWE | CWE-693（Protection Mechanism Failure） | ［1］ |
| 深刻度と影響 | Important、Security Feature Bypass | ［1］ |
| 悪用されたときの影響 | 悪用に成功した攻撃者はシステムのストレージのBitLocker Device Encryptionを回避でき、対象に物理的にアクセスできる攻撃者は暗号化されたデータにアクセスしうる | ［1］ |
| 利用者の対応 | 必要（customerActionRequired） | ［1］ |
| 発見者の謝辞 | Anonymous | ［2］ |
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Microsoft | CVE-2026-50661を予約した | ［4］ |
| 2026年 | Nightmare Eclipse | ブログにGreatXMLの投稿を掲載した | ［5］ |
| 2026年 | Cyderes | GreatXMLの分析を公開した | ［6］ |
| 2026年 | The Hacker News | Microsoftの回答を記事に加えた | ［10］ |
| 2026年 | ThreatLocker | 再現の結果と検知の観点を公開した | ［7］ |
| 2026年 | Microsoft | 検出名Trojan:XML/GreatXML.GVA!MTBの脅威の説明を掲載した | ［3］ |
| 2026年 | Microsoft | 月例更新でCVE-2026-50661を公開した | ［1］ |
| 2026年 | Microsoft | CVE-2026-50661を版1.1に改め、謝辞を更新した | ［1］ |
対象の製品と版
悪用の状況
Microsoftは、CVE-2026-50661を公開済み（publicly disclosed）で、悪用はされていないとした［1］。悪用の可能性の評価は「Exploitation Less Likely」である［1］。
CVEレコードのCISAのADP（Vulnrichment）の評価では、SSVCのExploitationがnone、Automatableがno、Technical Impactがtotalである［4］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| ファイルのハッシュ（SHA-256） | 785CCFA88C1AA0B33A0E9A27C5BAF68A8F146B435F57BF0247D5F15878B90389（悪性のunattend.xml） | Cyderes | ［6］ |
| ディスクの操作 | DiskPartなどによる回復パーティションのマウント | ThreatLocker | ［7］ |
| ファイルの書き込み | unattend.xml、ReAgent.xmlの書き込み | ThreatLocker | ［7］ |
| イベント | Microsoft-Windows-Windows Defender/OperationalのイベントID 2030（次回の再起動でのオフラインスキャンの予約） | ThreatLocker | ［7］ |
修正と回避策
Microsoftの広報担当者はThe Hacker Newsに、報告された脆弱性を認識しており、主張の妥当性と適用の可能性を調べていると回答した［10］。協調された脆弱性の開示を支持するとも答えた［10］。
Microsoft Security Intelligenceの脅威の説明では、GreatXMLの名を含む検出名の脅威を、Microsoft Defender Antivirusが検出して削除する［3］。
Cyderesは、根本原因に対処する修正は出ていないとして、監視を勧めた［6］。
- Windows UpdateやWinREのセットアップ以外のプロセスによる、回復パーティションの直下へのunattend.xmlの書き込み［6］
- RecoveryとWindowsREのディレクトリの作成［6］
- 利用者の文脈からのオフラインスキャンの予約［6］
- その後のWinREの起動［6］
SecurityWeekの7月14日の記事では、Tenableの研究者が、CVE-2026-50661はNightmare Eclipseが開示した一連のゼロデイに関連しうると述べた［13］。公式の確認は無いとも述べた［13］。Rapid7は、GreatXMLを6月の月例更新の翌日にNightmare Eclipseが告知した脆弱性として挙げた［8、14］。
未公表の事項
- GreatXMLとCVE-2026-50661の対応についてのMicrosoftの説明
- GreatXMLの仕組みについてのMicrosoftの説明
- 検出名Trojan:XML/GreatXML.GVA!MTBが検出する対象（Microsoftは技術的な詳細を「currently not available」とした［3］）
- GreatXMLを使った攻撃の観測
- GreatXMLに固有の緩和策についてのMicrosoftの案内
注
出典
当事者
- ［1］Microsoft Corporation『Windows BitLocker Security Feature Bypass Vulnerability』（2026年7月14日公開、2026年8月24日更新）
- ［2］Microsoft Corporation『CVE-2026-50661』（2026年7月14日公開）
- ［3］Microsoft Corporation『Trojan:XML/GreatXML.GVA!MTB threat description』（2026年7月6日公開）
公的機関
- ［4］MITRE Corporation『CVE-2026-50661』（2026年7月14日公開、2026年11月1日更新）
調査・観測
- ［5］Nightmare Eclipse『GreatXML』（2026年6月10日公開）
- ［6］Cyderes, Inc.『GreatXML: Inside the Windows Zero-Day That Turns Defender's Offline Scanner Into a BitLocker Backdoor』（2026年6月11日公開、2026年10月16日更新）
- ［7］ThreatLocker, Inc.『GreatXML: Exploiting the WinRE trust boundary behind BitLocker』（2026年6月17日公開、2026年9月17日更新）
- ［8］Rapid7, Inc.『Patch Tuesday - July 2026』（2026年7月14日公開）
- ［9］CrowdStrike, Inc.『July 2026 Patch Tuesday: Updates and Analysis』（2026年7月14日公開、2026年7月16日更新）
報道機関
- ［10］The Hacker News, Inc.『New GreatXML Exploit Bypasses Windows BitLocker via Recovery Partition XML Files』（2026年6月11日公開、2026年6月16日更新）
- ［11］Wired Business Media『'GreatXML' Zero-Day Exploit Bypasses BitLocker』（2026年6月11日公開）
- ［12］Security Affairs『Chaotic Eclipse Strikes Again: New Zero-Day Unlocks BitLocker in Four Hours of Research』（2026年6月11日公開）
- ［13］Wired Business Media『Microsoft Patches Record 622 Vulnerabilities, Including Two Exploited Zero-Days』（2026年7月14日公開、2026年7月22日更新）
- ［14］Recorded Future, Inc.『Microsoft smashes Patch Tuesday record for second successive month』（2026年7月15日公開）
背景資料
- ［15］Microsoft Corporation『Microsoft Defender Offline in Windows』（2026年7月3日公開、2026年8月25日更新）
更新記録
- 2026年6月12日：公開した。
- 2026年6月16日：The Hacker Newsの記事の6月16日の更新（出典10）で加わったMicrosoftの回答を「修正と回避策」と「時系列」に加えた。
- 2026年6月17日：ThreatLockerの記事（出典7）を加え、再現の結果を「脆弱性の内容」に、検知の観点を「悪用の状況」に加えた。
- 2026年7月3日：Microsoft Learnの解説（出典15）を加え、オフラインスキャンの要件を「脆弱性の内容」に加えた。
- 2026年7月6日：Microsoft Security Intelligenceの脅威の説明（出典3）を加え、検出名を「時系列」と「修正と回避策」に加えた。
- 2026年7月14日：MicrosoftのCVE-2026-50661の情報と謝辞（出典1、2）、CVEレコード（出典4）、Rapid7とCrowdStrikeの分析（出典8、9）、SecurityWeekの記事（出典13）を加え、リードと「脆弱性の内容」「時系列」「対象の製品と版」「悪用の状況」「修正と回避策」「注」を改めた。
- 2026年7月15日：The Recordの記事（出典14）を「修正と回避策」に加えた。
- 2026年7月16日：CrowdStrikeの分析の7月16日の更新（出典9）に合わせ、出典の行を改めた。
- 2026年7月22日：SecurityWeekの7月14日の記事の7月22日の更新（出典13）に合わせ、出典の行を改めた。
- 2026年8月24日：MicrosoftのCVE-2026-50661の版1.1の改訂（出典1）で更新された謝辞を「時系列」に加え、表1の発見者の謝辞の行を改めた。
- 2026年8月25日：Microsoft Learnの解説の8月25日の更新（出典15）に合わせ、出典の行を改めた。
- 2026年9月17日：ThreatLockerの記事の9月17日の更新（出典7）に合わせ、出典の行を改めた。
- 2026年10月16日：Cyderesの分析の10月16日の更新（出典6）に合わせ、出典の行を改めた。
- 2026年11月1日：CVEレコードの11月1日の更新（出典4）に合わせ、「対象の製品と版」と「悪用の状況」を改めた。