Bezpečnostní výzkumník Nightmare-Eclipse zveřejnil exploit nazvaný YellowKey, který umožňuje útočníkovi s fyzickým přístupem k zařízení obejít šifrování BitLocker na Windows 11 a Windows Server 2022 a 2025. Stačí USB flash disk, restart do prostředí Windows Recovery Environment a podržení klávesy Ctrl.

Jádro problému leží výhradně v obrazu WinRE, nikoliv v běžné instalaci Windows. Exploit vytvoří na USB disku složku FsTx na NTFS oddílu. Při bootu do WinRE toto prostředí přehraje transakční NTFS logy z připojeného média a jako vedlejší efekt smaže soubor winpeshl.ini, který za normálních okolností řídí spuštění určené aplikace v WinRE. Bez tohoto souboru WinRE místo určené aplikace spustí příkazovou řádku. TPM v tomto okamžiku transparentně dešifruje chráněný svazek – je to jeho standardní chování při bootu v recovery prostředí. Výsledkem je příkazová řádka s plným přístupem k obsahu šifrovaného disku.

Výzkumník Will Dormann přidal technické upřesnění: jde hlouběji než pouhé smazání souboru. Zranitelný kód se nachází v komponentě, která existuje pouze v obrazu WinRE a nikde jinde v běžné Windows instalaci – na internetu ani v jiných verzích systému. Nightmare-Eclipse to označil za záměrně vložená zadní vrátka. Microsoft situaci prošetřuje, zatím ale žádnou záplatu nevydal ani nepřidělil CVE číslo.

Výchozí konfigurace BitLockeru spoléhá na TPM bez PINu – právě tato konfigurace je zneužitelná. Windows 10 zasažen není. Útok nelze provést vzdáleně, vyžaduje fyzický přístup k zařízení.