BitLocker'ın son kalesi yıkıldı: YellowKey açığı USB ve basit tuşlarla şifrelemeyi kırıyor
Bir USB bellek, CTRL tuşu ve birkaç saniye — Windows 11 dizüstü bilgisayarınızı çalan kişinin BitLocker şifrelemesini atlatması için yeterli. YellowKey kod adıyla açığa çıkarılan bu açık, Windows 11 ve Windows Server 2022/2025'teki BitLocker korumasının bypass edilebileceğini gösteriyor.
Araştırmacı Nightmare-Eclipse, açık için proof-of-concept kodunu GitHub'da 12 Mayıs 2026'da yayınladı. Bağımsız güvenlik uzmanları Kevin Beaumont ve KevTheHermit, açığı Windows 11 build 10.0.26100.1 üzerinde başarıyla yeniden üreterek doğruladılar.
Bu, 2026'da Nightmare-Eclipse'in açığa çıkardığı beşinci Microsoft zero-day. Araştırmacı, Microsoft'un hata işleme süreciyle ilgili rahatsızlığını belirterek kamuya açıklama yaptığını söyledi.
Exploit mekanizması: USB bellek, tuş kombinasyonu ve WinRE
YellowKey exploit'i basit bir yöntemle çalışıyor: Saldırgan USB belleğe özel biçimlendirilmiş FsTx dosyalarını kopyalıyor, hedef bilgisayarı Windows Recovery Environment'a (WinRE) önyüklüyor ve CTRL tuşu basılı tutarak belirli bir tuş kombinasyonunu gerçekleştiriyor. Bu adımlar tamamlandığında sistem shell erişimi veriyor ve BitLocker koruması atlatılıyor.
Açığın bulunduğu bileşen WinRE görüntüsü içinde yer alıyor. Aynı adlı bileşen normal Windows kurulumunda da mevcut olsa da, orada exploit fonksiyonelliği yok. Araştırmacı bu farklılığa dayanarak açığın kasıtlı olarak yerleştirilmiş olabileceğini düşünüyor.
Kevin Beaumont açığı test ettikten sonra "BitLocker'ın bir arka kapı içerdiğini kabul ediyorum" dedi. KevTheHermit ise exploit'i yeniden üretti ve sonuçları görüntülerle paylaştı.
Mevcut yayınlanan YellowKey versiyonu yalnızca TPM-only BitLocker yapılandırmalarında çalışıyor. Araştırmacı TPM+PIN kullanan sistemleri de atlatabilen bir versiyonun elinde olduğunu iddia ediyor, ancak bu kodun kamuya açık versiyonunu henüz paylaşmadı.
GreenPlasma: Ayrıcalık yükseltme açığı
YellowKey ile birlikte açığa çıkarılan ikinci zero-day ise GreenPlasma. Bu açık CTFMON bileşenine dayalı olup, ayrıcalıksız bir kullanıcının SYSTEM izinlerine sahip shell elde etmesine olanak tanıyor. Windows 10'u etkilemiyor — yalnızca Windows 11 ve Server sürümleri hedefte.
Yayınlanan PoC kodu eksik durumda. Varsayılan Windows yapılandırmalarında GreenPlasma bir UAC onay istemi tetikliyor, yani saldırganlar kısmi exploit kodunu kendileri silahlandırmak zorunda. Tam SYSTEM shell elde etmek için ek adımlar gerekiyor ve bunlar kamuda paylaşılmadı.
GreenPlasma için bilinen bir hafifletme yöntemi yok. Microsoft'un yama yayınlaması bekleniyor, ancak şirket henüz resmi bir açıklama yapmadı veya CVE atamadı.
Microsoft'un önceki açıklara verdiği sessiz yanıt
Nightmare-Eclipse'in kamuya açıklama kararı, Microsoft'un önceki açıklara yaklaşımıyla doğrudan ilgili. Nisan 2026'nın başında araştırmacı RedSun ve UnDefend adlı iki zero-day daha yayınlamıştı. Microsoft, RedSun açığını sessizce yamadı ve CVE tanımlayıcısı atamadı.
Microsoft sözcüsü, "Koordineli açık bulma uygulamalarına destek veriyoruz ve müşterileri korumak için hızlı güncelleme taahhüdümüz var" dedi. Ancak bu açıklama, RedSun ve UnDefend gibi açıklara verilen sessiz yanıt ile çelişiyor.
Huntress'e göre, RedSun ve UnDefend kamuya açıklandıktan sonra gerçek dünya saldırılarında hızla silahlandırılmaya başlandı. Araştırmacı ayrıca BlueHammer adlı başka bir açığı da açığa çıkarmıştı ve bu açıklar da kötüye kullanılmaya başlandı.
Nightmare-Eclipse, "sonraki Patch Tuesday için büyük bir sürpriz" vaadinde bulundu ve ek güvenlik açıklarını içeren bir "dead man's switch" hazırladığını söyledi. Araştırmacı gelecekte RCE açıklamaları yapabileceğine dair uyarıda bulundu.
Fiziksel erişim senaryosunda gerçek dünya etkisi
YellowKey'in en ciddi etki, çalıntı cihazlar üzerinde ortaya çıkıyor. Kurumsal ortamlarda çalışanların dizüstü bilgisayarlarını kaybetmesi veya çalınması sık karşılaşılan bir risk. IT ekipleri BitLocker'a güvenerek cihazın elden çıkması durumunda verilerin güvende olacağını varsayıyor. YellowKey bu varsayımı sarsuyor.
TPM-only yapılandırma kullanan kuruluşlar doğrudan risk altında. Bu yapılandırma PIN gerektirmez — cihaz açıldığında TPM çipi anahtarı otomatik olarak sağlar. YellowKey tam da bu yapılandırmayı hedef alıyor.
Windows 10 kullanıcıları bu açıktan etkilenmiyor, ancak Windows 11 ve Server 2022/2025 çalıştıran milyonlarca cihaz şu anda savunmasız durumda. Microsoft henüz bir yama yayınlamadı.
Tasarım hatası mı yoksa kasıtlı mı?
WinRE ortamında bulunan spesifik bileşen ve davranış, normal Windows'ta bulunmayan bir fonksiyonellik içeriyor. Nightmare-Eclipse buna dayanarak açığın kasıtlı olarak yerleştirilmiş olabileceğini düşünüyor. Ancak bunu doğrulamak veya çürütmek için Microsoft'un resmi açıklaması gerekiyor.
Tarihsel olarak Microsoft, WinRE ve kurtarma ortamlarında kolaylık sağlamak için bazı güvenlik kontrollerini gevşetmiş durumda. Bu tür ortamlar sistem yöneticilerinin kilitlenen sistemlere erişim sağlamasına yardımcı olmak için tasarlanıyor. Ancak bu tasarım tercihleri kötü niyetli aktörlere de yeni kapılar açıyor.
YellowKey'in keşfi, Microsoft'un WinRE güvenlik modelini yeniden değerlendirmesi gerektiğini gösteriyor.
Koordineli açık bulma süreci ve kopuş
Koordineli güvenlik açık bulma, araştırmacıların keşfettikleri açıkları satıcıya bildirmeleri, satıcıların yama geliştirmesi ve ardından açıkların kamuya açıklanması sürecini içeriyor. Nightmare-Eclipse, Microsoft'un önceki açıklara sessiz yama uygulaması, CVE atamaması ve araştırmacıyla iletişim kurmaması nedeniyle bu süreci terk etti.
Bu durum güvenlik topluluğunda tartışma yarattı: Araştırmacı satıcının davranışından memnun kalmazsa zero-day'i kamuya açıklama hakkına sahip mi? Bazı güvenlik uzmanları Nightmare-Eclipse'in yaklaşımını eleştiriyor ve milyonlarca kullanıcıyı riske attığını söylüyor. Diğerleri ise Microsoft'un şeffaf olmayan yama uygulamalarını sorguluyor.
Yama beklentisi ve geçici tedbirler
YellowKey ve GreenPlasma açıkları Mayıs ortasında açığa çıktı. Bir sonraki Patch Tuesday Haziran'a kadar en az üç haftalık bir açık pencere bırakıyor.
TPM-only BitLocker kullanan kuruluşlar için acil adım: Yapılandırmayı TPM+PIN moduna geçirmek. Bu adım kullanıcı deneyimini biraz karmaşıklaştırsa da fiziksel erişim senaryolarında ek bir koruma katmanı sağlıyor. Ancak araştırmacı TPM+PIN bypass'ının da mümkün olduğunu iddia ediyor, yani bu geçici bir hafifletme.
Fiziksel güvenlik önlemleri de kritik hale geldi. Dizüstü bilgisayarların güvenli ortamlarda tutulması ve çalınma riskini azaltmak için ek kontroller uygulanması gerekiyor. Windows 11 veya Server 2022/2025 çalıştıran kritik veri içeren sistemlerde BitLocker yapılandırmasını TPM+PIN moduna geçirin, fiziksel erişim kontrollerini sıkılaştırın ve olası veri ihlali senaryolarınızı gözden geçirin. Microsoft'un yaması yayınlanana kadar bu adımlar risk azaltmak için gereklidir.
