BitLocker回避ゼロデイ「YellowKey」CVE-2026-45585、物理アクセスで暗号化突破が可能

「BitLockerで暗号化していれば、ノートPCをなくしても安心じゃなかったの？」
「YellowKeyって名前の脆弱性、社用ノートも危ない？」

チップス

ボス、BitLockerをすり抜けるゼロデイが出たって本当でしゅか？ ノートPCを暗号化すれば安心だと思ってまし​たでしゅ。

ボス

うむ、CVE-2026-45585「YellowKey」だ。Microsoftが5月20日に緩和策を公開した。物理アクセスがあれば暗号化を突破できる仕組みだ。

本記事ではBitLocker回避ゼロデイ「YellowKey」（CVE-2026-45585）の仕組みと影響、Microsoftの推奨緩和策を解説します。
社用ノートPCを多数配布している組織にとって、放置できない事案です。

続きを読めば、TPM-only運用の限界と、社員PCの設定変更を急ぐべき理由が見えてきます。

YellowKeyの仕組みと影響範囲

YellowKeyはBitLockerの「復旧シーケンス」の信頼前提を突くタイプの攻撃です。
暗号自体は破られませんが、回復経路を悪用して暗号化ボリュームへアクセスします。

WinRE復旧シーケンスのトラスト前提を悪用

5月19日に研究者「Nightmare Eclipse」がPoCを公開し、Microsoftが翌20日に緩和策を提供しました。
攻撃は、プリブート段階で動くWindows回復環境（WinRE）の復旧インターフェースに対する「行動上の信頼前提」を悪用します。
具体的にはBootExecuteで自動起動するautofstx.exe（FsTx回復ユーティリティ）を起点に、フルアクセスの非制限シェルを暗号化ボリューム上で起動できます。

事案の要点はこちらです。

「物理アクセス必須」を侮ってはならない

CVSS 6.8とスコア自体は中程度ですが、これは「物理アクセスが必要」という前提を反映したものです。
実務上はノートPCの紛失・盗難、出張先のホテルや会議室での放置、修理時の第三者預けなど、物理アクセスを許してしまう場面は多数あります。
ソフト導入も既存資格情報もネットワークも不要で、USBポートが使えて再起動できれば成立する点が極めて危険です。

チップス

出張先でノートPCを置いて席を外すこともあるでしゅ…現実的に怖いシナリオでしゅね。

ボス

うむ、紛失リスクが大きい職場ほど影響が深刻だ。営業端末や役員用PCは特に注意せよ。

Microsoft推奨の緩和策と運用面の対応

パッチではなく緩和策提供という形ですが、効果的な手段は用意されています。
大規模配布されたPCでも、ポリシーで一括変更できる項目が多いのが救いです。

TPM+PIN構成への切り替えが本筋

Microsoftは、既に暗号化済みの端末に対して「TPM-only」プロテクターから「TPM+PIN」モードへの切り替えを推奨しています。
これにより、起動時にPIN入力が必須となり、YellowKeyの攻撃経路を実質的に遮断できます。
PowerShell・コマンドライン・コントロールパネルのいずれからでも変更可能なため、Intune／SCCM配信スクリプトで一括化するのが効率的です。

運用に組み込むべき対応はこちらです。

PIN運用のユーザー教育とサポート体制

TPM+PINに切り替えると、利用者は起動時にPINを覚えて入力する必要があります。
ヘルプデスクへの問い合わせ増加や、PIN忘れによるリカバリ依頼の急増が予想されるため、運用側の準備も合わせて必要です。
あらかじめ社内通知でPIN桁数や設定方法、リカバリーキーの取り扱いを周知し、無用な混乱を避けましょう。

チップス

PINを忘れる人が続出しそうでしゅね…ヘルプデスク大変そうでしゅ。

ボス

うむ、運用負荷とリスクの天秤だ。漏れたら戻せない情報の重みを考えれば、PIN運用は安い保険だ。

まとめ：BitLocker「設定済み」で安心しない

YellowKeyは「ディスク暗号化していれば安全」という思い込みを揺さぶる事案です。
取るべき行動を整理します。

チップス

「暗号化しているから大丈夫」って言える時代じゃないんでしゅね。

ボス

うむ、暗号化は前提であって到達点ではない。運用設計まで含めて初めて守りになる。

詳しい情報はThe Hacker Newsの報道とMicrosoftの公式ガイダンスを参照してください。