> ## Content Index > Fetch the complete content index at: https://joho-todai.com/llms.txt > Use this file to discover other available public pages before exploring further. # BitLocker暗号化を破る「YellowKey」、Microsoftが緩和策を公開 - URL: https://joho-todai.com/yellowkey-breaks-bitlocker-encryption-microsoft-mitigation/ - Published: 2026-05-20T07:46:24.000Z - Updated: 2026-08-20T14:53:54.000Z - Author: 岬 徹 - Tags: Windows, BitLocker, セキュリティ, YellowKey, ゼロデイ, WinRE, CVE-2026-45585, Windows11, 脆弱性, Microsoft Windows標準の暗号化機能BitLockerをUSBメモリ1本で解除できるゼロデイ脆弱性「YellowKey」。Microsoftはパッチをまだ提供できていないが、攻撃を防ぐ緩和策を公開した。ノートPCを紛失した時にデータを守る最後の砦に、すり抜けられる穴が見つかった問題だ。 --- ## YellowKeyとは何か Windows 11およびWindows Server 2022/2025に存在するゼロデイ脆弱性で、BitLockerで暗号化されたドライブへの侵入を**回復キーも専用機材も使わず**に可能にする。5月12日に「ナイトメア・エクリプス（Nightmare-Eclipse）」を名乗るセキュリティ研究者が概念実証コード（PoC）を公開した。 攻撃の手順は単純だ。特定のフォルダ構造「**FsTx**」を書き込んだUSBメモリをターゲット機に接続し、Windowsの回復環境（WinRE）に再起動。その後Ctrlキーを押し続けるだけで、BitLockerを無視したコマンドプロンプトが開く。 YellowKey 攻撃の流れ | 1 USBメモリを準備する 「FsTx」フォルダをNTFSフォーマットのUSBに配置。EFIパーティションへの直接書き込みでも代用可 2 ターゲット機にUSBを接続する BitLocker有効・TPMのみ設定のWindows 11 / Server 2022 / 2025 端末 3 WinREに再起動する Shift+再起動などでWindowsの回復環境（WinRE）に入る 4 WinRE起動中にCtrlキーを押し続ける autofstx.exeがFsTxを処理し、winpeshl.iniを書き換え・削除する ! BitLockerを解除したコマンドプロンプトが開く 回復キー不要。暗号化ドライブの内容が読み書き可能な状態になる | | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ※ 公開済みPoCの手順に基づく。TPM＋PIN設定では本PoCでの再現は独立研究者らにより確認されていない > USBメモリに入れた特製フォルダが、WinRE内の`autofstx.exe`というプログラムを経由して別ドライブの設定ファイルを書き換え、回復シェルのロックを外してしまう 独立系研究者のウィル・ドーマン氏はMastodon上で再現に成功したと報告し、「あるドライブ上のFsTxディレクトリが、別ドライブの内容を書き換えられる動作はそれ自体が脆弱性だ」と指摘した。 この公開の背景には、研究者とMicrosoftの泥沼化した関係がある。ナイトメア・エクリプスは今年4月にも、Windowsの別の脆弱性「BlueHammer（CVE-2026-33825）」「RedSun」「UnDefend」を公開した。いずれも公開直後に実際の攻撃に悪用されており、Microsoftのセキュリティ対応プロセスに不満を持つ研究者がパッチ提供前に意図的に公開を続けているとみられる。 --- ## Microsoftが公開した緩和策 5月20日、MicrosoftはCVE-2026-45585として本脆弱性を正式に登録し、パッチが提供されるまでの間に取れる緩和策を案内した。 > BitLockerのセキュリティ機能バイパス脆弱性として公開されているYellowKeyを認識している。この脆弱性のPoCはすでに協調的な脆弱性開示のベストプラクティスに反する形で公開されている。セキュリティアップデートが利用可能になるまでの間に保護を提供できる緩和ガイダンスを提供するため、今回のCVEを発行する 緩和策の核心は、WinREのイメージ内から`autofstx.exe`のエントリをレジストリ（Session Manager→BootExecute）上で削除することだ。CVE-2026-33825アドバイザリの「Mitigations」セクションに記載された手順に従い、WinREのBitLocker信頼を再確立する。この変更で、`winpeshl.ini`の削除を起点とする攻撃の連鎖が断たれる。 **暗号化済みのデバイス**については、BitLockerの設定を「TPMのみ」から**「TPM＋PIN」モード**に変更するよう推奨している。TPM（Trusted Platform Module）とは起動時の暗号鍵を管理するチップで、「TPMのみ」では電源を入れるだけで自動的にドライブが解錠される。「TPM＋PIN」に変えることで、起動前にPINの入力が必要になりYellowKeyの経路が塞がれる。設定はPowerShell、コマンドライン、コントロールパネルのいずれかで行える。 **未暗号化のデバイス**を管理する組織向けには、Microsoft Intuneまたはグループポリシーで「起動時に追加の認証を要求する」オプションを有効にし、「Configure TPM startup PIN」を「Require startup PIN with TPM」に設定するよう案内している。 --- ## 確認済みと未確認の境界 ナイトメア・エクリプスは「TPM＋PINの環境でも悪用できる別バリアントが存在する」と主張している。ただし、そのPoCは「すでに公開された情報だけで十分に危険だ」として非公開のままだ。 独立研究者らはTPM＋PIN設定の機器での再現をまだ確認していない。TPM＋PIN環境ではWinRE進入前のPINプロンプトで攻撃が止まるためだ。このバリアントの存在が独立検証されるまでは、TPM＋PINへの切り替えが現実的な対処になる。 OS・設定別のリスクと対処状況 | OS | TPMのみ（デフォルト） | TPM＋PIN | | ----------- | ------------ | ---------- | | Windows 10 | 非対象 | 非対象 | | Windows 11 | 脆弱 ✗ | 現時点で再現なし △ | | Server 2022 | 脆弱 ✗ | 現時点で再現なし △ | | Server 2025 | 脆弱 ✗ | 現時点で再現なし △ | ※ 研究者はTPM＋PIN環境でも悪用可能な別バリアントの存在を主張しているが、PoCは未公開のため独立検証はできていない。✗＝公開PoCで再現確認済み、△＝現時点で再現報告なし Windows 10は本脆弱性の影響を受けない。WinRE内の問題のあるコンポーネントはWindows 11以降で変更された部分に起因するとみられている。 --- ## なぜ今すぐ動く必要があるか YellowKeyの本質は「BitLockerを正面から破るのではなく、回復環境という隙間を通じてドライブのロックを外す」点にある。物理的に触れる攻撃者の前では、暗号化が有効でも意味をなさなくなる。 出張中のノートPC、オフィスの共有スペースに置かれた端末、盗難にあった機器——どれも対象になりうる。セキュリティ研究者のリック・ファーガソン氏は「ノートPCの盗難がハードウェアの問題から情報漏洩通知の問題に変わる」と表現した。 Microsoftはパッチを開発中とみられるが、**6月のPatch Tuesdayまで**提供されない可能性が高い。同じ研究者は6月のPatch Tuesday前後にも新たなゼロデイを公開すると予告している。 --- 参照元： ### 関連記事 - [BitLockerバイパス脆弱性をめぐりMicrosoftと研究者が対立](https://joho-todai.com/yellowkey-bitlocker-cve-2026-45585-microsoft-researcher-conflict/) - [BitLockerをUSBで解錠、YellowKey公開](https://joho-todai.com/bitlocker-usb-unlock-yellowkey-released/) - [Windowsゼロデイ6件を巡りMSRC対応に批判 開示プロセスを検証](https://joho-todai.com/windows-zero-day-vulnerabilities-msrc-breakdown/) - [Microsoft Defender経由でBitLockerを回避するゼロデイ「GreatXML」を報告](https://joho-todai.com/defender-breaks-bitlocker-eighth-zero-day-greatxml/) - [Microsoftが折れた、ゼロデイ騒動の裏側](https://joho-todai.com/microsoft-yields-zero-day-controversy-behind-scenes/) - [Windows 11の6月更新KB5094126で起動不能。修正が配信](https://joho-todai.com/windows-11-june-update-boot-failure-fix/) - [Microsoft Defenderの新たなゼロデイ「RoguePlanet」、月例パッチ当日に投下](https://joho-todai.com/defender-zero-day-rogueplanet-patch-tuesday/) - [セキュアブート証明書の期限まで2週間、マイクロソフトが踏み込んだ回答](https://joho-todai.com/microsoft-secure-boot-certificate-expires-two-weeks/) - [Defenderのゼロデイ2件、すでに攻撃で使われていた](https://joho-todai.com/defender-zero-day-exploits-already-used-attacks/) - [Windowsの6年前の修正が消えていた、新ゼロデイ「MiniPlasma」公開](https://joho-todai.com/windows-miniplasma-zero-day-vulnerability/)