Sıfır gün açığı Windows 11 BitLocker'ı varsayılan ayarda kırıyor

Bağımsız güvenlik araştırmacısı Rafał Wolnik, Polonya'da düzenlenen ConfidenceConf güvenlik konferansında, Microsoft Windows 11'in varsayılan BitLocker disk şifrelemesini kıran bir sıfır gün açığını gösterdi. Sunumun teknik tanımlamasının ardından araştırmacı, kullanılan saldırı yöntemini blogunda yayımladı.

BitLocker, Windows işletim sisteminin yerleşik tam disk şifreleme aracı. Microsoft, BitLocker'ı 2007'de Windows Vista ile birlikte sunmuş; o dönemden bu yana sistem, Windows 10 ve 11'de iş istasyonları için standart olarak etkinleştirilmiş durumda. Açık özellikle 'autounlock' modülünde tespit edildi; bu modül, kullanıcının her sistem açılışında parola yazmasını gerektirmeyen otomatik kilit açma mekanizması.

Wolnik'in yöntemi, fiziksel erişimle başlıyor. Saldırgan kapalı bir bilgisayara bağlanan, manipüle edilmiş bir USB cihazı yerleştiriyor; cihaz, Windows Boot Manager'in başlatma diziliminde bir penceredeki bellek katmanına müdahale ediyor. TPM (Trusted Platform Module) doğrulamasını atlatan bu yöntem, sistemde herhangi bir admin yetkisi gerektirmeden başarıyla çalışıyor.

Wolnik, kanıt yayınında 'kullanılan yöntem, Microsoft'un standart BitLocker yapılandırmasının teorik tehdit modeline doğrudan müdahale eden bir saldırı' olduğunu yazdı. Araştırmacı, açığın temelinde TPM'in başlatma evresinde uygulanan platform yapılandırma kayıt (PCR) kontrolünün eksikliği olduğunu öne sürdü.

Microsoft Güvenlik Müdahale Merkezi (MSRC), açıklamasında 'sorunu doğruladıklarını ve aktif olarak inceledikleri'ni duyurdu. MSRC, açığa CVE-2026-32147 numarasını atadı ve etkinin BitLocker'ın 'autounlock' modülünü kullanan tüm Windows 11 sürümlerinde geçerli olduğunu doğruladı.

Microsoft önümüzdeki Salı günü çıkacak Patch Tuesday paketinde açığa yönelik düzeltme yamasını yayımlayacağını duyurdu. Geçici azaltma adımı olarak, kullanıcıların BitLocker'da 'autounlock' özelliğini devre dışı bırakıp her açılışta PIN gerektiren yapılandırmaya geçmeleri öneriliyor. Kurumsal IT yöneticileri için Group Policy üzerinden bu değişikliğin merkezi olarak yapılabileceği belirtildi.

Microsoft Konfigürasyon Yöneticisi belgelerinde, kurumsal müşteriler için 'Enhanced Sign-in Security' başlığı altında BitLocker'ın TPM+PIN konfigürasyonunun kullanımı zaten uzun süredir öneriliyor. Wolnik'in araştırması, bu önerinin neden teknik bir gereklilik olduğunu somut bir kanıtla gösterdi.

Google'ın Project Zero güvenlik grubundan Tavis Ormandy, sosyal medyada Wolnik'in araştırmasını 'BitLocker'ın varsayılan tehdit modelinin son on yıldır taşıdığı yapısal bir zayıflığın gerçek dünyada gösterimi' olarak nitelendirdi. Ormandy, kurumsal disk şifreleme stratejisi gözden geçirilirken benzer açıkların başka şifreleme araçlarında da bulunabileceğini ekledi.

Windows kullanıcıları için pratik öneri ise net: BitLocker'ı kullanmaya devam, ancak 'autounlock' modülünün devre dışı bırakılması ve TPM+PIN konfigürasyonunun aktifleştirilmesi. Bu değişiklik Windows 11 Pro ve Enterprise sürümlerinde Group Policy üzerinden, ev kullanıcılarında ise BitLocker yönetim panelinden yapılabiliyor.

Açık ve düzeltme yaması, kurumsal IT güvenlik dünyasında BitLocker yapılandırmaları için yeni bir gözden geçirme dalgası başlatması bekleniyor. Geçen yıl yayımlanan TPM-bound disk açıklarının ardından bu, son 18 ayda Windows tam disk şifrelemesini doğrudan etkileyen üçüncü büyük güvenlik açığı oldu.