BitLocker YellowKey（CVE-2026-45585）：WinRE 绕过加密，微软先给缓解脚本

全盘加密是笔记本丢失、被盗、酒店留置、维修送检等场景的最后防线。据蓝点网报道，安全研究人员公开了 Microsoft BitLocker 中的安全漏洞 YellowKey：可在 WinRE（Windows 恢复环境） 中绕过常规加解密机制，直接读取加密硬盘中的文件。

报道称：研究人员与微软沟通不顺，微软似乎忽略漏洞，导致研究者选择公开；随后微软承认问题并发布临时缓解脚本，后续再通过累积更新彻底修复。

漏洞编号：CVE-2026-45585。

背景

BitLocker 威胁模型与 YellowKey 的切入点

BitLocker 的日常印象是：开机要 TPM/PIN/密码，磁盘密文不可读。YellowKey 的路径则是针对恢复环境而非「在线猜密码」：

1. 进入 WinRE 恢复环境；
2. 利用权限过高的 FsTx 自动恢复实用程序；
3. 绕过常规加解密流程，读取加密盘上的文件。

蓝点网概括：缺陷根源在 FsTx 自动恢复实用程序权限太高；缓解脚本会从 WinRE 里删除该脚本的启动项。

这属于「信任链在恢复环境被打开一个口子」——对物理攻击者非常有价值。

披露与响应过程

蓝点网描述的时间线特征：

用户需理解：脚本是过渡方案，最终仍应安装官方累积更新中的正式修复。

细节

漏洞本质

官方评定要点

微软安全公告（蓝点网转述）：

「需要物理接触」会降低蠕虫式远程扩散可能，但恰恰打在 BitLocker 的主威胁模型上：设备离开视线之后。

微软临时缓解脚本

蓝点网说明：

• 脚本属于临时安全修复程序，有助于降低漏洞被利用的风险；
• 主要用于 WinRE 恢复环境；
• 会从 BootExecute 注册表中移除 autofstx.exe；
• BootExecute 会在启动过程的早期阶段甚至是恢复模式下运行程序——移除该选项可防止该可执行文件在高权限环境中运行。

工作原理概述

1. 挂载 WinRE 映像；
2. 编辑离线 SYSTEM 注册表，删除相应条目；
3. 提交变更并重新封装 WinRE 恢复映像；
4. 尽量让 Microsoft BitLocker 信任链保持完整。

脚本获取地址（蓝点网给出）：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45585

时间线

物理接触设备
        ↓
进入 WinRE
        ↓
FsTx 自动恢复实用程序（高权限）
        ↓
绕过 BitLocker 常规加解密
        ↓
读取加密盘文件

缓解：BootExecute 移除 autofstx.exe
例外：TPM + PIN → 无法利用

技术分析

打的是「恢复环境」，不是在线认证

BootExecute 与 autofstx.exe

蓝点网转述微软说明：

• BootExecute 在启动早期甚至恢复模式下运行程序；
• autofstx.exe 与 FsTx 自动恢复实用程序相关；
• 缓解脚本通过离线编辑 WinRE 的 SYSTEM 注册表删除条目，再重新封装映像；
• 目标是在不破坏 BitLocker 整体信任链的前提下，关闭高权限入口。

TPM + PIN 例外的技术含义

微软公告（蓝点网转述）：若设备使用 TPM 芯片 + PIN 码进行保护，则漏洞无法被利用。

对企业镜像策略的含义：仅 TPM 静默解锁、无 PIN 的笔记本，在物理丢失模型下与 YellowKey 披露叠加时风险更高。

影响

谁应该最紧张

优先评估这些资产：

与「更新后进 BitLocker 恢复界面」类故障区分

蓝点网历史上多次报道：安装某次 Windows 更新后，部分设备重启进入 BitLocker 恢复界面——那是可用性/更新副作用，需要恢复密钥进系统。

YellowKey 则是安全性问题：攻击者在 WinRE 路径读密文盘。

帮助台培训务必分开，避免误用恢复密钥流程处理安全事件。

组织风险

• 6.8 分 + 物理接触：SLA 定级需明确「外勤笔记本 ≠ 机房服务器」；
• 缓解脚本为临时方案——需跟踪正式补丁，避免脚本长期替代更新；
• 设备丢失 playbook 应加入「加密绕过假设」。

排查清单

5.1 策略层

• 确认 CVE-2026-45585 已进入漏洞库与 SLA
• 统计 BitLocker 开启但无 PIN 的设备比例
• 强制高风险设备启用 TPM + PIN（报道明确此时无法利用）
• 禁止「只开 BitLocker、不设 PIN」作为高管默认镜像
• 设备报失流程：远程擦除 + 假定磁盘可能已被物理取证

5.2 缓解脚本层

• 从 MSRC 获取脚本：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45585
• 金丝雀环验证脚本对 WinRE / 恢复 / BitLocker 解锁的影响
• Intune / SCCM / 镜像注入批量部署
• 记录哪些设备已缓解、哪些等待正式补丁
• 正式累积更新覆盖 CVE 后，评估是否撤下临时脚本

5.3 验证

• 抽检 WinRE 是否仍启动 autofstx 相关项
• 确认正常 BitLocker 恢复密钥流程未破坏
• 帮助台准备「跑完脚本后的恢复问题」话术与升级路径
• 对照影响版本：Win11 24H2/25H2/26H1、Server 2025 及衍生

5.4 版本与例外矩阵

制度建议

笔记本加密基线（建议）

1. 外勤设备强制 TPM + PIN，不仅 TPM 静默。
2. 缓解脚本与 Windows 累积更新双轨跟踪，脚本不得无限期替代补丁。
3. WinRE 变更纳入变更管理——缓解脚本会修改 WinRE 映像与 BootExecute。
4. 丢失/送修流程默认「磁盘机密性可能已失」，而不只是「换机」。

Intune / GPO 落地顺序（建议）

风险沟通（对非技术团队成员）

BitLocker 像给硬盘加了一把锁。研究人员发现：在某种「系统修复模式」里，有一个权限过大的自动工具，可能让接触到电脑的人绕过锁读文件。微软给了临时拆掉该工具启动的方法，并会在后续更新里彻底修。
如果你的电脑开了 PIN，报道称这条路打不通。如果电脑经常离开公司，请尽快按 IT 通知设置 PIN 并安装缓解。

FAQ

Q：远程能打吗？
A：蓝点网转述微软：必须物理接触设备；CVSS 6.8，非网络蠕虫型。

Q：开了 BitLocker 就一定安全吗？
A：YellowKey 针对 WinRE + FsTx 路径；TPM+PIN 时微软称无法利用，无 PIN 外勤本需重点处置。

Q：CVE 编号？
A：CVE-2026-45585。

Q：哪些 Windows 版本？
A：Windows 11 24H2 / 25H2 / 26H1、Windows Server 2025 及衍生版本。

Q：缓解脚本下什么？
A：从 WinRE 的 BootExecute 移除 autofstx.exe，与 FsTx 自动恢复实用程序相关。

Q：脚本是永久修复吗？
A：蓝点网：临时缓解；微软后续应通过累积更新彻底解决。

Q：脚本在哪下载？
A：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45585

Q：为什么研究者要公开？
A：蓝点网：与微软沟通存在问题，微软似乎忽略，故公开 YellowKey。

Q：和「更新后进 BitLocker 恢复」一样吗？
A：不一样——那是可用性/更新副作用；YellowKey 是 WinRE 路径安全绕过。

Q：服务器要不要跑脚本？
A：影响含 Windows Server 2025 及衍生；是否部署看物理接触风险与变更窗口，建议与微软公告一致评估。

Q：跑脚本会影响正常恢复吗？
A：微软设计目标是保持 BitLocker 信任链完整；仍建议在金丝雀设备验证 WinRE 与恢复密钥流程。

Q：YellowKey 名字谁起的？
A：蓝点网：研究人员将该漏洞称为 YellowKey；官方跟踪号为 CVE-2026-45585。

Q：FsTx 是什么？
A：蓝点网称缺陷在 FsTx 自动恢复实用程序权限过高；缓解针对 autofstx.exe 在 BootExecute 中的启动项。

物理丢失场景决策树（建议）

设备丢失/被盗？
  ├─ 已启用 TPM+PIN → 报道称漏洞无法利用，仍执行远程擦除
  ├─ 仅 TPM 无 PIN → 高风险：报失 + 缓解脚本 + 强制 PIN 策略
  └─ 未部署缓解且未补丁 → Assume 物理读盘可能成功

MSRC 脚本部署前后检查（建议）

与微软沟通时间线的合规记录（事实）

蓝点网描述：研究人员与微软沟通存在问题，微软似乎忽略漏洞 → 研究人员直接公开 → 微软承认并发布缓解脚本 → 后续累积更新彻底修复。

安全团队可将此案例纳入「厂商协调失败 → 公开披露 → 临时缓解」类 playbook，但不应据此延迟部署微软已发布的 MSRC 缓解与后续正式补丁。

帮助台话术对照（建议）

衍生版本与 Server 2025（蓝点网范围）

影响含 Windows 11 24H2 / 25H2 / 26H1 与 Windows Server 2025 及衍生版本。MDM 报表应能按 OS 版本构建筛选，而非仅「Win11」笼统标签——24H2 与 26H1 可能处于不同补丁 waves。

CVE-2026-45585 关键事实一页纸（蓝点网摘要）

审计与合规留痕（建议）

• 记录每台外勤本：BitLocker 状态、是否有 PIN、是否已跑 MSRC 脚本、累积更新是否含最终修复。
• 将「物理接触 + 加密绕过」纳入年度渗透测试/红队场景库——与远程 CVE 测试分开定级。
• Researchers 公开背景（蓝点网：微软似乎忽略）提醒：第三方研究披露可能早于正式补丁，临时缓解与 PIN 策略应同步启动，勿等「完美修复」才行动。

来源

本文事实依据：蓝点网《微软发布用于缓解BitLocker加密绕过的脚本 该漏洞目前已经被公开》。

• YellowKey、CVE-2026-45585、CVSS 6.8、物理接触前提、Win11 24H2/25H2/26H1 与 Server 2025、TPM+PIN 例外、FsTx / autofstx.exe / BootExecute / WinRE 缓解原理、MSRC 脚本链接、研究者公开背景——均转述自该报道。

声明：Intune 部署顺序等为「建议」；未在蓝点网出现的 exploit 步骤、其他 CVE 不作编造。