Un exploit de día cero burla las protecciones BitLocker por defecto en Windows 11
El investigador independiente de seguridad Rafał Wolnik ha presentado un exploit de día cero que vence el cifrado de disco BitLocker por defecto en Windows 11. La demostración tuvo lugar en la conferencia de seguridad ConfidenceConf, en Polonia; Wolnik publicó posteriormente un análisis técnico en su blog.
BitLocker es la herramienta integrada de cifrado total de disco de Microsoft. La empresa la introdujo en 2007 con Windows Vista, y desde hace muchos años está activada por defecto en los puestos de trabajo corporativos sobre Windows 10 y 11. El exploit ataca específicamente el componente «autounlock», que elimina la necesidad de introducir una contraseña en cada inicio del sistema.
El método de Wolnik requiere acceso físico. El atacante conecta un dispositivo USB manipulado a un equipo apagado; el dispositivo interviene en una ventana de memoria durante la secuencia de arranque del Windows Boot Manager. La técnica burla la verificación del TPM (Trusted Platform Module) y funciona sin privilegios administrativos en la máquina objetivo.
Wolnik escribe en la prueba de concepto publicada que la técnica «ataca directamente el modelo de amenaza teórico de la configuración por defecto de BitLocker de Microsoft». El investigador sostiene que la causa subyacente es la ausencia de una verificación del registro de configuración de plataforma (PCR) durante la fase de arranque del TPM.
El Microsoft Security Response Center indicó que ha «confirmado el problema y lo está investigando activamente». El MSRC ha asignado el identificador CVE-2026-32147 a la falla y ha confirmado que están afectadas todas las versiones de Windows 11 que utilizan el componente «autounlock» de BitLocker.
Microsoft anuncia que se publicará un parche en el próximo Patch Tuesday. Como medida de mitigación provisional, Microsoft recomienda desactivar «autounlock» en BitLocker y pasar a una configuración que exija un PIN en cada inicio. La empresa señala que los administradores de TI de las organizaciones pueden desplegar este cambio de forma centralizada mediante la directiva de grupo (Group Policy).
La documentación de Microsoft Configuration Manager lleva tiempo recomendando la configuración TPM+PIN para BitLocker en el marco de la guía «Enhanced Sign-in Security» dirigida a clientes corporativos. La investigación de Wolnik aporta la prueba concreta de la necesidad técnica de esa recomendación.
Tavis Ormandy, del grupo Project Zero de Google, ha descrito la investigación de Wolnik como «una demostración en el mundo real de una debilidad estructural que ha vivido dentro del modelo de amenaza por defecto de BitLocker durante la última década». Ormandy considera que podrían encontrarse debilidades estructurales similares en otras herramientas de cifrado de disco en la revisión corporativa que probablemente se va a abrir.
Para el usuario final, la recomendación práctica es clara: seguir utilizando BitLocker, pero desactivar el componente «autounlock» y activar la configuración TPM+PIN. El cambio se puede hacer en Windows 11 Pro y Enterprise mediante la directiva de grupo, y en instalaciones domésticas desde el panel de control de BitLocker.
Se espera que el exploit y el parche que llega desencadenen una nueva revisión de las configuraciones de BitLocker en los equipos corporativos de seguridad informática. Tras las vulnerabilidades vinculadas al TPM reveladas el año pasado, es la tercera falla importante que afecta directamente al cifrado total de disco en Windows en los últimos dieciocho meses.