Introducción
Un archivo XML colocado en la partición correcta, un reinicio en modo de recuperación, y BitLocker deja de proteger por completo. Este es el escenario que hace posible GreatXML, un exploit zero-day publicado el 11 de junio de 2026 por el investigador de seguridad Nightmare Eclipse. Sin CVE asignado ni parche de Microsoft disponible a la fecha, los equipos IT que dependen de BitLocker como principal mecanismo de protección de endpoints deben reevaluar urgentemente su exposición.
Una vulnerabilidad en el entorno de prearranque
GreatXML explota una interacción no documentada entre el análisis sin conexión de Windows Defender y el Entorno de Recuperación de Windows (WinRE). El análisis sin conexión de Defender es una función que permite examinar un sistema antes de su arranque completo, desde un entorno mínimo; suele estar habilitada en las políticas de seguridad de Intune o SCCM en entornos Windows empresariales.
Ahí reside precisamente la condición de explotación: si este análisis se ha ejecutado al menos una vez en el equipo, un atacante con acceso físico puede copiar un archivo unattend.xml malicioso en la raíz de la partición de recuperación. Al reiniciar en modo de recuperación —accesible mediante la combinación Shift + Reiniciar—, Windows carga ese archivo sin una validación suficiente. Se abre entonces un símbolo del sistema con privilegios SYSTEM, con el volumen completamente descifrado y accesible, dejando a BitLocker completamente inoperante sin que se haya comprometido ni una sola clave de cifrado.
Siete zero-days en diez semanas contra los mismos componentes
GreatXML no aparece de forma aislada. Se inscribe en una campaña pública que Nightmare Eclipse lleva a cabo desde principios de abril de 2026: en diez semanas ha publicado siete exploits zero-day dirigidos a Microsoft Defender y sus componentes —entre ellos BlueHammer, RedSun, UnDefend, GreenPlasma, YellowKey y, la víspera de GreatXML, RoguePlanet. Este último explota una condición de carrera en el pipeline de procesamiento de archivos de Defender para obtener privilegios SYSTEM en un sistema completamente parcheado, incluidas las actualizaciones de junio de 2026.
El ritmo es deliberado. El investigador, que habría iniciado esta publicación en serie tras expresar públicamente su descontento con el programa de divulgación responsable de Microsoft, publica cada exploit antes de que exista un parche. Algunos de estos zero-days han recibido desde entonces un CVE y mitigaciones oficiales —es el caso de YellowKey (CVE-2026-45585), que también apuntaba a WinRE. GreatXML, publicado dos semanas después, sigue sin respuesta oficial.
Lo que los equipos IT deben hacer ahora
BitLocker sigue siendo un mecanismo de cifrado robusto, pero GreatXML confirma una realidad estructural que YellowKey ya había puesto de manifiesto: WinRE y la partición de recuperación conforman una superficie de ataque propia, demasiado frecuentemente excluida del perímetro de vigilancia de los equipos de seguridad. Las configuraciones en modo TPM exclusivo —las más extendidas en los despliegues empresariales— son especialmente vulnerables ante escenarios de acceso físico no supervisado.
En ausencia de parche, varias medidas reducen el riesgo de forma concreta:
- Proteger el acceso físico a los equipos críticos y asegurar el BIOS/UEFI con contraseña para controlar las opciones de arranque en modo de recuperación.
- Monitorizar los cambios en la partición de recuperación mediante soluciones EDR, configurando alertas ante cualquier modificación inusual de los archivos WinRE.
- Migrar al modo TPM + PIN en lugar de TPM exclusivo: no elimina la superficie de ataque en WinRE, pero complica significativamente los escenarios de explotación física.
- Revisar el uso de los análisis sin conexión de Defender en las políticas de Intune o SCCM —esta función es el requisito previo para la explotación de GreatXML y puede sustituirse en muchos casos por análisis en línea.
El ataque no rompe la criptografía. Elude el cifrado apuntando a la capa de sistema que lo rodea: un recordatorio de que la seguridad de un endpoint nunca se reduce a una única línea de defensa.