BitLocker 零時差漏洞 YellowKey — CVE-2026-45585 緩解措施

研究員 Chaotic Eclipse 於 2026 年 5 月公布 BitLocker 零時差漏洞 YellowKey，微軟於 5 月 19 日申請 CVE-2026-45585，發布緩解措施但未提供修補程式。

漏洞概要

• CVE： CVE-2026-45585
• 類型： BitLocker 安全功能繞過（Security Feature Bypass）
• CVSS： 6.8（Important）
• 影響版本： Windows 11 24H2、25H2、26H1；Windows Server 2025
• 攻擊前提： 需實際接觸目標裝置（physical access）

影響

攻擊者可繞過 BitLocker 裝置完整加密（Device Encryption）功能，透過 USB 裝置觸發後即可存取加密資料。

緩解措施

微軟未提供修補程式，緩解措施包括：

1. 修改 Windows 復原環境（WinRE）映像檔
2. 設置 BitLocker PIN 碼
3. 尚未加密的裝置應設置 TPM PIN 碼

相關概念

• Chaotic Eclipse五個零時差漏洞串成完整Windows攻擊鏈 — YellowKey 為攻擊鏈一環

相關實體

• microsoft — 漏洞所在平台與緩解措施發布方

來源文章

• ithome-2026-05-21-bitlocker-yellowkey-cve-2026-45585-176002 — 原始來源
• ithome-2026-05-21-chaotic-eclipse-zero-day-chain-176004 — 攻擊鏈完整報導