BitLockerバイパス脆弱性をめぐりMicrosoftと研究者が対立
WinRE（Windows回復環境）を突いてBitLockerを回避する脆弱性「YellowKey」の公開をめぐり、Microsoftが研究者を公に批判し、その研究者が真っ向から反論する事態になっている。技術的な修正の話だけでは済まない、報告者とMicrosoftの関係の問題が浮上してきた。
WinRE（Windows回復環境）を突いてBitLockerを回避する脆弱性「YellowKey」の公開をめぐり、Microsoftが研究者を公に批判し、その研究者が真っ向から反論する事態になっている。技術的な修正の話だけでは済まない、報告者とMicrosoftの関係の問題が浮上してきた。
MSRCアカウントを消された、と研究者は言う
Nightmare-Eclipseとして知られるセキュリティ研究者が今月、WinREを悪用してBitLockerを回避するゼロデイ脆弱性のPoC（概念実証コード）を公開した。この脆弱性はCVE-2026-45585として管理され、CVSS（共通脆弱性評価システム）スコアは6.8だ。
Microsoftは5月19日（現地時間）に公開したアドバイザリでこう書いた。
The proof of concept for this vulnerability has been made public, violating coordinated vulnerability best practices.
（本脆弱性のPoC（概念実証コード）は、協調的な脆弱性開示のベストプラクティスに違反して公開されました）
問題は、この一文だ。Nightmare-Eclipseは自身のブログで「これは私の個人的な評判を傷つける名誉毀損だ」と反論し、公開に踏み切った経緯をこう説明している。
脆弱性の報告に使っていたMSRCのアカウントを、あなたたちは意図的に取り消した。説明を求めても、アカウントは完全に削除され、MSRCのリーダーシップからの返答は一切なかった。
研究者の言い分が正しければ、報告窓口をMicrosoft側が塞いだことになる。現時点でMicrosoftはこの主張に対して公式なコメントを出していない。
脆弱性の中身——暗号は破れていない
YellowKeyの仕組みを整理しておく。
攻撃に必要なのは物理的なアクセスと、細工されたFsTxファイルを入れたUSBドライブだ。ターゲットのPCをWinREに起動させ、Transactional NTFS（TxF）のリプレイ機能を使ってwinpeshl.iniファイルを削除する。これにより、通常の回復メニューの代わりに制限なしのコマンドプロンプトが立ち上がり、BitLockerで保護されているはずのパーティションの中身にアクセスできてしまう。
BitLockerのAES暗号そのものは無傷だ。問題は暗号の外側——回復環境という「便利のために設けられた抜け道」にある。盗まれたノートPCや無人のワークステーションが標的になりやすく、Microsoftも悪用可能性を「More Likely」（悪用の可能性が高い）と評価している。
影響を受けるのはWindows 11 24H2/25H2/26H1（x64版）とWindows Server 2025。現時点でパッチはなく、暫定対処策のみが提供されている。
Microsoftが提示した暫定対処策
Microsoftが公開したスクリプトは、WinREイメージをマウントし、BootExecuteレジストリ値からautofstx.exeのエントリを削除した後、WinREを再シールしてBitLockerの信頼を回復する手順を自動で実行する。スクリプト適用後、エントリが存在しなければ変更なしで終了する設計だ。
もう一つの対策は、BitLockerの認証方式をTPM+PINに切り替えることだ。ただしNightmare-Eclipseは自身のブログで「TPM+PINでも悪用は可能だ」と主張している。TPM+PINを回避するPoCは「現状公開するには十分すぎる状況にある」として公開を控えているとしているが、問題が完全に解消されるわけではないと示唆している点は気になる。
研究者をめぐる背景
Nightmare-EclipseはYellowKey以前にも、Microsoft関連の複数のゼロデイをPoCとともに公開している。権限昇格の脆弱性BlueHammer（CVE-2026-33825）とRedSun、Microsoft Defenderの更新を妨害するUnDefendの3件は4月に公開され、BlueHammerはすでにCISA（米サイバーセキュリティ・インフラセキュリティ庁）の KEVカタログに追加されている。
脆弱性を発見した人間が正規の報告窓口を失えば、公開以外の選択肢は事実上なくなる。それが意図的な措置なのか、手続き上の行き違いなのか、外部からは判断できない。ただ少なくとも、研究者とMicrosoftの間で修復困難な亀裂が入っていることは確かだ。
Microsoftがパッチを提供する前に次の脆弱性が公開されるかどうか、その答えは両者の関係の行方にかかっている。
参照元
関連記事
- BitLocker暗号化を破る「YellowKey」、Microsoftが緩和策を公開
- BitLockerをUSBで解錠、YellowKey公開
- Windowsゼロデイ6件を巡りMSRC対応に批判 開示プロセスを検証
- Microsoft Defender経由でBitLockerを回避するゼロデイ「GreatXML」を報告
- Microsoftが折れた、ゼロデイ騒動の裏側
- Windowsの6年前の修正が消えていた、新ゼロデイ「MiniPlasma」公開
- セキュアブート証明書、期限目前に大規模配信へ
- Microsoft Defenderの新たなゼロデイ「RoguePlanet」、月例パッチ当日に投下
- Defenderのゼロデイ2件、すでに攻撃で使われていた
- フィッシング警告が読めない、Microsoftが2週間後に修正
