CVD（協調的脆弱性開示）という制度は、研究者とベンダーの間の「信頼の合意」によって成立しています。研究者が脆弱性を発見したら、まずベンダーに非公開で通知し、修正の時間を与えてから情報を公開する——その約束が破れたとき、何が起きるのか。「Chaotic Eclipse」の名で活動する匿名の研究者が2026年5月12日、WindowsのBitLocker保護を物理アクセスのみで突破する「YellowKey」と、SYSTEM権限取得への足がかりとなる「GreenPlasma」の概念実証（PoC）コードをGitHubに公開しました。研究者自身が明言している通り、これはMicrosoftへの報復です。そして同時に、現代のセキュリティ研究の倫理的基盤そのものを問い直す事件でもあります。
「Chaotic Eclipse」（別名 Nightmare-Eclipse）と名乗る匿名の研究者が2026年5月12日、2つの未修正Windowsゼロデイの概念実証コードをGitHubに公開した。
1つ目の「YellowKey」は、BitLockerで暗号化されたドライブへのシェルアクセスを、USBスティック＋WinRE（Windows回復環境）再起動時の特定キー操作のみで実現するBitLocker完全バイパスだ。TPM-only構成（大多数の企業・コンシューマー機のデフォルト）では認証情報が不要。独立した検証者であるセキュリティ研究者Kevin Beaumontが実機での再現を確認している。研究者自身は「これはこれまで発見した中で最もinsaneな発見だ。バックドアのようだ。」と記している。
2つ目の「GreenPlasma」は、すべての対話型セッションでSYSTEMとして動作するCTFMON.exeを標的にした権限昇格の脆弱性だ。任意のメモリセクションオブジェクトをSYSTEM書き込み可能ディレクトリに配置することで特権サービスやドライバを操作できるが、完全なSYSTEMシェル取得に必要な最終コードは意図的に削除された状態で公開された。
両脆弱性はWindows 11、Windows Server 2022/2025で動作確認されており、Windows 10は対象外だ。Microsoftはいずれにも公式コメントを発しておらず、CVEも未割り当ての状態が続いている。
今回の公開は、同研究者による2026年のシリーズの第4・5弾にあたる。過去のBlueHammer（CVE-2026-33825）、RedSun、UnDefendはいずれも公開直後から実環境での悪用が確認された。
From: 
Windows BitLocker zero-day gives access to protected drives, PoC released — BleepingComputer
【編集部解説】
CVD制度という「信頼の契約」が壊れるとき
セキュリティ研究の世界には、長い年月をかけて培われた一つの規範があります。CVD（Coordinated Vulnerability Disclosure：協調的脆弱性開示）と呼ばれる仕組みです。研究者が脆弱性を発見したら、まずベンダーに非公開で通知し、合理的な修正期間（通常90日）を設けた後に情報を公開する。この「見つけたからといって即座に公表しない」という自制こそが、製品を使う何億もの人々を守る最後の防波堤でした。
Chaotic Eclipse（別名Nightmare-Eclipse）が崩しているのは、まさにその防波堤です。
研究者のGitHubには動機が率直に書かれています。「誰かが私たちの合意を破り、私を家なき状態に追い込んだ。彼らはそれでも背中を刺した——これは彼らの選択であり、私の選択ではない」。一部報道は、この人物がMicrosoftの元従業員である可能性を伝えています。真偽は確認されていませんが、動機が「公益」ではなく「個人的怨恨」に由来していることは、研究者自身の言葉から明らかです。
これが何を意味するか。CVDは「善意の研究者がベンダーを信頼する」ことを前提に機能します。報告した脆弱性をベンダーが誠実に扱い、研究者の貢献を正当に評価する——そのフィードバックループへの信頼が失われたとき、制度は制度として機能しなくなります。この研究者のケースは、その「信頼が破られたときに何が起きるか」の実例として、セキュリティコミュニティに重くのしかかっています。
問題はさらに構造的です。今回の研究者は単に「公開してはいけないものを公開した」だけでなく、Patch Tuesdayの直後または当日に公開するというパターンを定着させつつあります。5月12日はMicrosoftの月例パッチ配布日です。RedSun・UnDefendはPT2日後、今回のYellowKey・GreenPlasmaはPT当日のリリースとなっており、「次のパッチが出るまで約4週間、パッチなし状態が確定する」タイミングを意図的に選んでいることが見て取れます。そして研究者は「次のPatch Tuesdayにも驚きを用意している。RCE（リモートコード実行）だ」と予告しています。
過去の「BlueHammer」（権限昇格）、「RedSun」（同）、「UnDefend」（Defender定義更新をブロックするDoS型）はいずれも公開直後から実環境での悪用が確認されました。この研究者が「確実に予告を実行する」という実績を積んでいることは、脅威の信憑性を高めています。バグバウンティ制度やCVDへの不満を持つ研究者は他にも存在します。今後、同様の「報復型ゼロデイ公開」が模倣・連鎖する可能性を、セキュリティコミュニティは今すでに議論し始めています。
Microsoftの沈黙が持つ意味
YellowKeyについて、もう一つ奇妙な点があります。研究者が「バックドアのようだ」と表現する理由は、この脆弱性を可能にするコンポーネントがWinRE（Windows回復環境）の内部にのみ存在するという構造的な異常です。
通常のWindowsシステムには存在しない脆弱なコンポーネントが、回復環境にだけ存在する。これがどれほど異様なことか——セキュリティ研究者のKevin Beaumontは「BitLockerにはバックドアがある」という研究者の見解に同意し、緩和策としてBitLocker PINとBIOSパスワードの組み合わせを推奨しています。
The Registerが複数の専門家に取材したところ、「Microsoftが意図的に仕込んだ」という主張は現時点で検証不可能との見解でした。意図的なバックドアである証拠はなく、実装ミスまたは設計上の見落としである可能性も同様に存在します。
ただし、Microsoftが5月14日現在まで一切の公式声明を出していない事実は、それ自体が情報を持つ意味を帯びます。CVEすら未割り当て。独立した研究者による再現確認が出ている状態で、世界中のセキュリティ担当者が自社環境の脆弱性に晒されているにもかかわらず、ベンダーとしての最低限の情報提供が行われていません。
研究者がREADMEでMicrosoftの内部セキュリティチームを名指しで批判しているのは、「自分の報告が無視された」という経験の蓄積からです。仮にその批判が誇張を含んでいたとしても、「報告しても無視される」という認識が形成されれば、CVDの機能不全はさらに進みます。沈黙はコストゼロではありません。
GreenPlasmaについては、専門家の間では「このような権限昇格の脆弱性は、攻撃者がシステムへの初期侵入を得た後に頻繁に使用される」と指摘しています。GreenPlasmaは最終コードが削除されているとはいえ、「SYSTEM権限取得のパズルの大部分が公開された」状態であり、十分な技術力を持つ攻撃者にとって完成に必要な時間は大幅に短縮されます。
日本企業の「3つの時限爆弾」が重なる今
技術的な詳細よりも重要なのは、この事件がいつ起きているかです。
第1の時限爆弾：BitLockerのデフォルト有効化
BitLockerはWindows 11において、多くの構成でデフォルト有効です。日本企業のWindows 11移行が加速するなか、「BitLockerで守られているから安全だ」という前提で端末管理を行っている組織は少なくありません。YellowKeyが示したのは、その前提が物理アクセスが可能な状況では崩壊しうるということです。ノートPC、ミニPC、場合によってはデスクトップ機——盗難や不正な物理アクセスが発生した際に、BitLockerが最後の防御線だと考えている組織は、YellowKeyによってその防御線が突破されるリスクに現在も晒されています。なお、現在公開されているPoCはTPMが搭載された元の機体ごとの盗難・アクセスを前提とし、ドライブ単体を別の機器に接続した場合には効果がないことが確認されています。機体から引き抜いたドライブを外部で解析することはできませんが、機体ごと持ち去られた場合にはYellowKeyが有効となります。
第2の時限爆弾：Secure Boot証明書の6月期限
Microsoftが2011年に発行したSecure Boot証明書が、2026年6月から期限切れを迎え始めます。5月12日のPatch Tuesday（KB5089549）は、この証明書更新への対応を含んでいます。また、4月のアップデート（KB5083769）が引き起こしていた「特定のTPM構成を持つ端末が再起動後にBitLockerリカバリキー要求に陥る」不具合についても、Windows 11向けに修正が行われました。
Secure Boot証明書が期限切れのままの状態になると、その端末は将来的にBitLockerバイパスの緩和策を含むブートレベルのセキュリティ更新を受け取れなくなります。YellowKeyへのパッチが将来リリースされたとしても、Secure Boot証明書が更新されていない端末にはそのパッチが適用できない可能性があります。
第3の時限爆弾：パッチ空白期間——次の一手が来るまでの4週間
現時点でMicrosoftはYellowKeyに対してCVEも割り当てておらず、修正パッチのリリース時期も不明です。研究者は「次のPatch Tuesdayにも驚きがある」と予告しており、もしその予告通りに実行されれば、組織は6月まで現行のパッチなし状態で対応を迫られる可能性があります。
では、今できることは何か。専門家が推奨する緩和策は現時点で以下に限られます。
BitLocker PINの設定（TPM-only → TPM+PINへの変更）。ただし研究者は「TPM+PINでも回避可能なバリアントを持っているが公開していない」と述べており、完全な緩和策ではない。
BIOSパスワードの設定（WinREへの物理アクセスを困難にする）。
物理セキュリティの強化（端末の盗難・不正アクセス防止）。
Windows 10端末の確認（YellowKeyはWindows 10には影響しないことが確認されている）。
重要なのは、上記の緩和策がすべて「物理アクセスを前提とする対策」である点です。リモートワーク端末、外出時の持ち歩き、サテライトオフィスなど、物理的な管理が完全ではない環境を持つ組織ほど、このリスクは現実的です。
YellowKeyは、「暗号化が有効＝安全」という信頼そのものへの攻撃でもあります。今この瞬間、世界中のWindows 11端末で稼働しているBitLockerに、パッチのない既知のバイパス手法が存在している。日本の組織のセキュリティ担当者がいま確認すべきは、自社の端末管理ポリシーがこの現実に対応しているかどうかです。
【用語解説】
CVD（Coordinated Vulnerability Disclosure：協調的脆弱性開示）
セキュリティ研究者が発見した脆弱性を、ベンダーに非公開で通知→修正期間の確保→情報公開、という手順で開示する規範。GoogleのProject Zeroが普及させた「90日ルール」が業界標準として広く参照されている。悪意ある攻撃者より先に修正を届けることを目的とし、研究者・ベンダー双方の「信頼の合意」によって成立する。
ゼロデイ（Zero-Day）
ベンダーが脆弱性の存在を認識する前、または修正パッチが提供される前に公開・悪用される脆弱性。「ゼロデイ」とは防御側の対応猶予日数が「0日」であることに由来。今回のYellowKey・GreenPlasmaはMicrosoftにCVEすら割り当てられていない状態で公開されており、厳密な意味でのゼロデイ。
WinRE（Windows Recovery Environment：Windows回復環境）
起動に問題が生じたWindowsを修復するための軽量OS環境。通常の再起動では表示されず、特定のキー操作や設定で起動する。YellowKeyは、この回復環境の内部にのみ存在する脆弱なコンポーネントを悪用する。
BitLocker
Windowsに標準搭載のドライブ暗号化機能。Windows 11では多くの構成でデフォルト有効。企業の端末管理において「盗難時のデータ保護の最終手段」として広く使われている。TPM（信頼されたプラットフォームモジュール）チップと連携し、正規の起動が確認された場合にのみ自動的にドライブを解除する。
TPM（Trusted Platform Module）
PCのマザーボードに組み込まれたセキュリティチップ。暗号鍵の生成・保存・管理を行い、システムの完全性を検証する。BitLockerはTPMを使用して暗号鍵を管理し、不正な変更があった場合には起動をブロックする。
CTFMON.exe
Windowsのテキスト入力機能（言語バー、IMEなど）を管理するシステムプロセス。すべての対話型セッションでSYSTEM権限として動作するため、権限昇格の標的となりやすい。
Patch Tuesday
Microsoftが毎月第2火曜日（日本時間では翌水曜日早朝）に実施するセキュリティ更新プログラムの定期配布。研究者Chaotic Eclipseは、このPatch Tuesdayの直後または当日にPoCを公開するパターンを定着させており（RedSun/UnDefendはPT2日後、YellowKey/GreenPlasmaはPT当日）、「次の修正まで約4週間パッチなし状態が確定する」タイミングを意図的に選んでいる。
Secure Boot
PCの起動プロセスで、承認されたソフトウェアのみが読み込まれることを保証するセキュリティ機能。UEFIファームウェアレベルで動作し、証明書チェーンで信頼性を検証する。Microsoftの2011年発行証明書が2026年6月から期限切れを迎え、BitLockerを含むブートレベルのセキュリティ更新に影響する可能性がある。
【参考リンク】
Microsoft Security Response Center（MSRC）（外部）
Microsoftへの脆弱性報告窓口。YellowKey/GreenPlasmaのCVEと対応状況を定期確認すること。
CISA Known Exploited Vulnerabilities Catalog（外部）
米国政府が実環境での悪用を確認した脆弱性の公式リスト。KEV追加は緊急パッチ適用の明確なトリガー。
manage-bde コマンドリファレンス（Microsoft）（外部）
BitLocker PINの設定・確認に使用するコマンドラインツールのリファレンス。TPM-only → TPM+PIN への変更手順を含む。
Secure Boot証明書の期限について（Microsoft Support）（外部）
2026年6月のSecure Boot証明書期限切れに関するMicrosoft公式解説。BitLockerへの影響範囲と対処方法を記載。
IPA 重要なセキュリティ情報（外部）
国内向け脆弱性・インシデント情報。YellowKeyのCVE割り当て後に追加される可能性がある。
【参考記事】
Windows BitLocker zero-day gives access to protected drives, PoC released — BleepingComputer（外部）
YellowKeyの技術的仕組み（NTFSトランザクション×WinRE）、Kevin Beaumontによる独立検証、TPM+PINを巡る研究者の主張を詳報。
Disgruntled researcher releases two more Microsoft zero-days — The Register（外部）
セキュリティ専門家（Ferguson・Knapp）のコメント、dead man’s switch予告、CVD制度への影響を分析。
A new Windows 11 BitLocker bypass only needs a USB stick, and the researcher thinks it’s a backdoor — XDA Developers（外部）
緩和策の限界（TPM+PINを回避するバリアントの存在）、物理アクセス防止が現時点で唯一確実な対策であることを整理。
Exploit Code Released: Public PoC Dumps for Windows BitLocker Bypass and SYSTEM Elevation Zero-Days — SecurityOnline（外部）
GreenPlasmaのSection Creation手法の技術解説、2026年5月12日のGitHub公開経緯を詳述。
Microsoft BitLocker-protected drives can now be opened with just some files on a USB stick — Tom’s Hardware（外部）
Windows 10が除外されている点、BlueHammerのパッチ状況、RedSunのサイレントパッチの可能性を確認。
【関連記事】
BitLocker悪用型ランサムウェア”ShrinkLocker”に無料復号ツール登場
BitLockerを防御機能ではなく攻撃の道具として使う手法を解説。「BitLocker＝守る」という前提の崩壊という文脈で参照できる。
Google GTIG警告：AI支援で開発されたとみられる世界初確認のゼロデイ2FAバイパス
同じ5月12日〜13日の報道サイクルで公開。ゼロデイの脅威が複数の軸で同時進行している現在の脅威環境の全体像が見えてくる。
【編集部後記】
USBスティック一本とキー操作一つでBitLockerが突破される——この事実が重いのは、「防いでいたはずのもの」が機能していないからです。ただ、今回の事件で最も問いたいのは技術的な穴よりも、なぜこの研究者がCVDをバイパスして報復という手段を選んだのか、という背景です。脆弱性の発見者が正規のルートを信頼できなくなったとき、制度はどう再設計されるべきか。私たちが見ているのは、セキュリティ研究の倫理的インフラそのものの揺らぎかもしれません。
