Il 12 giugno 2026 il ricercatore noto come Nightmare Eclipse ha pubblicato una tecnica chiamata GreatXML. Secondo la sua ricostruzione, su computer dove è stata usata almeno una volta la scansione offline di Microsoft Defender, un attaccante con accesso fisico al dispositivo può aggirare alcune protezioni operative di BitLocker passando da WinRE, l’ambiente di ripristino di Windows. Non è una rottura della cifratura. Il punto è più delicato: la catena di fiducia che, in certe fasi di manutenzione o recupero, permette a Windows di sbloccare automaticamente un volume protetto. Una distinzione tecnica, sì. Ma per chi ha notebook aziendali, dati sensibili e dispositivi sempre in movimento, cambia parecchio.
GreatXML, il bypass che non rompe la cifratura ma la fiducia di avvio
GreatXML è stata presentata da Nightmare Eclipse come il risultato di circa quattro ore di analisi. Un dettaglio che, da solo, è bastato a far alzare più di un sopracciglio nella comunità della sicurezza. In base alla documentazione disponibile nei repository pubblici, il bypass usa file XML e alcuni componenti da inserire nella partizione di ripristino del sistema. Da lì, durante l’avvio in modalità recovery, l’attaccante potrebbe ottenere una shell con privilegi elevati e arrivare al contenuto dell’unità protetta da BitLocker.
Il punto da tenere fermo è questo: BitLocker continua a cifrare i dati. Non viene “spaccato” l’algoritmo, non emerge una falla crittografica nel senso classico. Il problema riguarda il modo in cui Windows si fida di una precisa sequenza di avvio. In alcune configurazioni, il sistema sblocca automaticamente le chiavi tramite TPM, dando per sicuro l’ambiente che sta caricando. GreatXML si infila lì. Non forza la serratura: trova un passaggio già considerato affidabile.
Defender Offline Scan e WinRE: dove nasce la finestra di attacco
La condizione indicata dal ricercatore è molto chiara: il computer risulterebbe esposto se su quella macchina è stata avviata almeno una volta la Defender Offline Scan, la funzione di Microsoft Defender che consente una scansione antimalware prima del caricamento completo di Windows. È uno strumento comune, presente da anni, usato soprattutto quando si sospetta un malware difficile da eliminare con il sistema già avviato. Nulla di raro, dunque. Nessuna configurazione da laboratorio.
La scansione offline si appoggia a WinRE, il Windows Recovery Environment, una versione ridotta di Windows PE usata per riparazioni, diagnosi e ripristino. Proprio perché lavora prima dell’ambiente Windows tradizionale, WinRE ha privilegi elevati e può dialogare con parti del sistema che normalmente restano protette. Secondo la ricostruzione tecnica, l’uso della scansione offline lascerebbe stati o tracce persistenti nell’ambiente di recupero. GreatXML li userebbe facendo leggere file di configurazione XML durante il boot, fino ad aprire un prompt con privilegi alti. In sostanza, come spiega l’autore nella documentazione del proof of concept, non cede la cifratura: cede il percorso che Windows considera sicuro.
Accesso fisico, partizione di ripristino e limiti dello scenario reale
L’impatto di GreatXML va misurato senza allarmismi. Non parliamo di un attacco remoto. Le informazioni pubblicate dicono che l’attaccante deve avere accesso fisico al computer e deve poter modificare la partizione WinRE. Tradotto: non basta mandare un allegato o sfruttare una pagina web. Serve avere il dispositivo tra le mani, collegarlo a un ambiente adatto, scrivere sul disco e preparare i componenti necessari. È un limite importante. Ma non basta a chiudere il discorso.
Lo scenario più concreto riguarda i notebook aziendali persi, rubati o lasciati incustoditi durante trasferte, fiere, controlli doganali o interventi tecnici. In molte aziende BitLocker è la prima difesa contro l’accesso ai dati quando un dispositivo finisce nelle mani sbagliate. Se un aggressore ha abbastanza tempo e il sistema rientra nelle condizioni descritte, una debolezza nella catena di avvio di WinRE può diventare un problema serio per documenti, credenziali salvate e archivi locali. Al momento non risultano indicazioni pubbliche di attacchi su larga scala. La ricerca resta però significativa: i repository con il proof of concept risultano ancora accessibili, mentre il post originale sul blog di Nightmare Eclipse è stato rimosso e restituisce errore 404; una copia, secondo quanto riportato, è visibile tramite Internet Archive.
Perché BitLocker con TPM+PIN resta la difesa decisiva
La difesa più solida indicata anche dalle prime analisi è BitLocker con TPM+PIN. Con questa configurazione, il solo modulo TPM non basta più a sbloccare automaticamente il volume: all’avvio serve anche un codice conosciuto dall’utente. È un cambio netto. Senza il PIN, l’attaccante non può montare il volume Windows, intervenire su WinRE e preparare il bypass. Certo, è una soluzione meno comoda, soprattutto nelle grandi flotte aziendali. Ma riduce molto il rischio.
Per gli amministratori IT, il caso GreatXML riporta in primo piano un punto già noto: la cifratura del disco funziona davvero solo se tutta la catena di avvio resta sotto controllo. Verificare l’uso della scansione offline di Defender, proteggere la partizione di ripristino, limitare l’avvio da dispositivi esterni e valutare l’obbligo del PIN pre-boot sono mosse concrete. Microsoft, al momento delle informazioni disponibili, non risulta aver pubblicato una correzione specifica per GreatXML. Il precedente più vicino è YellowKey, un’altra tecnica legata a WinRE e BitLocker citata dallo stesso ricercatore, risolta con gli aggiornamenti Microsoft di giugno 2026. Per ora, quindi, la prudenza passa dalla configurazione: meno automatismi all’avvio, più controllo su chi sta davvero accendendo il PC.
