Windows

BitLocker暗号化を破る「YellowKey」、Microsoftが緩和策を公開

岬徹

2026年5月20日 16:4600

Windows標準の暗号化機能BitLockerをUSBメモリ1本で解除できるゼロデイ脆弱性「YellowKey」。Microsoftはパッチをまだ提供できていないが、攻撃を防ぐ緩和策を公開した。ノートPCを紛失した時にデータを守る最後の砦に、すり抜けられる穴が見つかった問題だ。

YellowKeyとは何か

Windows 11およびWindows Server 2022/2025に存在するゼロデイ脆弱性で、BitLockerで暗号化されたドライブへの侵入を回復キーも専用機材も使わずに可能にする。5月12日に「ナイトメア・エクリプス（Nightmare-Eclipse）」を名乗るセキュリティ研究者が概念実証コード（PoC）を公開した。

攻撃の手順は単純だ。特定のフォルダ構造「FsTx」を書き込んだUSBメモリをターゲット機に接続し、Windowsの回復環境（WinRE）に再起動。その後Ctrlキーを押し続けるだけで、BitLockerを無視したコマンドプロンプトが開く。

YellowKey 攻撃の流れ

USBメモリを準備する

「FsTx」フォルダをNTFSフォーマットのUSBに配置。
EFIパーティションへの直接書き込みでも代用可

ターゲット機にUSBを接続する

BitLocker有効・TPMのみ設定の
Windows 11 / Server 2022 / 2025 端末

WinREに再起動する

Shift+再起動などでWindowsの
回復環境（WinRE）に入る

WinRE起動中にCtrlキーを押し続ける

autofstx.exeがFsTxを処理し、
winpeshl.iniを書き換え・削除する

BitLockerを解除したコマンドプロンプトが開く

回復キー不要。暗号化ドライブの内容が読み書き可能な状態になる

※ 公開済みPoCの手順に基づく。TPM＋PIN設定では本PoCでの再現は独立研究者らにより確認されていない

USBメモリに入れた特製フォルダが、WinRE内のautofstx.exeというプログラムを経由して別ドライブの設定ファイルを書き換え、回復シェルのロックを外してしまう

独立系研究者のウィル・ドーマン氏はMastodon上で再現に成功したと報告し、「あるドライブ上のFsTxディレクトリが、別ドライブの内容を書き換えられる動作はそれ自体が脆弱性だ」と指摘した。

この公開の背景には、研究者とMicrosoftの泥沼化した関係がある。ナイトメア・エクリプスは今年4月にも、Windowsの別の脆弱性「BlueHammer（CVE-2026-33825）」「RedSun」「UnDefend」を公開した。いずれも公開直後に実際の攻撃に悪用されており、Microsoftのセキュリティ対応プロセスに不満を持つ研究者がパッチ提供前に意図的に公開を続けているとみられる。

Microsoftが公開した緩和策

5月20日、MicrosoftはCVE-2026-45585として本脆弱性を正式に登録し、パッチが提供されるまでの間に取れる緩和策を案内した。

BitLockerのセキュリティ機能バイパス脆弱性として公開されているYellowKeyを認識している。この脆弱性のPoCはすでに協調的な脆弱性開示のベストプラクティスに反する形で公開されている。セキュリティアップデートが利用可能になるまでの間に保護を提供できる緩和ガイダンスを提供するため、今回のCVEを発行する

緩和策の核心は、WinREのイメージ内からautofstx.exeのエントリをレジストリ（Session Manager→BootExecute）上で削除することだ。CVE-2026-33825アドバイザリの「Mitigations」セクションに記載された手順に従い、WinREのBitLocker信頼を再確立する。この変更で、winpeshl.iniの削除を起点とする攻撃の連鎖が断たれる。

暗号化済みのデバイスについては、BitLockerの設定を「TPMのみ」から「TPM＋PIN」モードに変更するよう推奨している。TPM（Trusted Platform Module）とは起動時の暗号鍵を管理するチップで、「TPMのみ」では電源を入れるだけで自動的にドライブが解錠される。「TPM＋PIN」に変えることで、起動前にPINの入力が必要になりYellowKeyの経路が塞がれる。設定はPowerShell、コマンドライン、コントロールパネルのいずれかで行える。

未暗号化のデバイスを管理する組織向けには、Microsoft Intuneまたはグループポリシーで「起動時に追加の認証を要求する」オプションを有効にし、「Configure TPM startup PIN」を「Require startup PIN with TPM」に設定するよう案内している。

確認済みと未確認の境界

ナイトメア・エクリプスは「TPM＋PINの環境でも悪用できる別バリアントが存在する」と主張している。ただし、そのPoCは「すでに公開された情報だけで十分に危険だ」として非公開のままだ。

独立研究者らはTPM＋PIN設定の機器での再現をまだ確認していない。TPM＋PIN環境ではWinRE進入前のPINプロンプトで攻撃が止まるためだ。このバリアントの存在が独立検証されるまでは、TPM＋PINへの切り替えが現実的な対処になる。

OS・設定別のリスクと対処状況

OS	TPMのみ（デフォルト）	TPM＋PIN
Windows 10	非対象	非対象
Windows 11	脆弱 ✗	現時点で再現なし △
Server 2022	脆弱 ✗	現時点で再現なし △
Server 2025	脆弱 ✗	現時点で再現なし △