WindowsのBitLocker回避脆弱性YellowKey、修正状況と対策まとめ

Windowsのディスク暗号化「BitLocker（ビットロッカー）」には、盗まれたり置き忘れたりしたパソコンをUSBメモリ1本と数分の物理アクセスで突破できてしまう脆弱性（情報セキュリティ上の欠陥）がありました。管理番号は CVE-2026-45585（通称「YellowKey」）。対象はWindows 11（24H2 / 25H2 / 26H1）とWindows Server 2025で、Microsoftが2026年6月10日の月例更新で修正済みです。Windows Updateをこの更新以降まで当てていれば、この欠陥への追加の対応は不要です。起動時に暗証番号の入力を求める「TPM＋PIN」構成の端末も、もともと悪用できません。

欠陥の舞台は、Windowsの「回復環境（WinRE）」です。USBメモリ1本と物理的なアクセスがあれば、攻撃者はパソコンを細工した経路でWinREへ入り込み、本来求められるはずの管理者確認をすり抜けて、BitLockerの暗号化や、UEFI/BIOSに設定したパスワード保護を回避できました。実証コード（PoC）は公開済みで、日本では JVN（JVNVU#90386605） が、米CERT/CCも VU#226679 として注意喚起を出しています。深刻度はMicrosoft評価でCVSS 6.8ですが、「暗号化していたから安全」という前提を崩す点で実害が大きい欠陥でした。

公開から約2ヶ月がたった2026年7月23日時点で、米政府CISAが公開する「実際に攻撃されている脆弱性リスト（KEV）」への登録はなく、実際の悪用もMicrosoft公式では確認されていません。一方、2026年7月14日の月例更新では、同じくBitLockerの保護を回避する別の欠陥 CVE-2026-50661 が新たに修正されました（後述）。YellowKeyだけ塞いで終わりにせず、Windows Updateを毎月の最新まで当て続けることが、そのまま対策になります。

この欠陥は誰に、どんな被害をもたらすのか

この欠陥が刺さるのは、紛失・盗難にあったノートPCや、持ち主が席を外した数分のあいだに端末へ触れる攻撃者です。セキュリティの世界では、不在中にこっそり端末を操作する手口を「Evil Maid（イービルメイド＝悪意あるメイド）攻撃」と呼びます。ネット越しに誰でも、という性質ではなく、現物に手が届くことが前提です。

その相手は、USBメモリから端末を起動して回復環境に入り込み、暗号化されていたディスクの中身や、BIOSパスワードで守っていたはずの設定を、本人になりすますことなく読み出します。研究者の実証では、必要なのはUSBメモリ1本だけで、数分のうちに鍵を再構成してロックを解いたと報告されています。

被害の本質は、「暗号化していたから大丈夫」という安心が崩れることです。これまで企業の端末紛失は、BitLockerで暗号化していれば「中身は守られている＝影響は限定的」と整理できました。ところがこの欠陥が成立すると、紛失・盗難した1台から、保存していた顧客データ・設計情報・社内システムへのログイン情報まで抜き取られる恐れがあります。個人にとっても、盗まれたノートPCの中の写真・書類・パスワードが、暗号化ごしでも危険にさらされるということです。だからこそ、後述する更新と設定の見直しが要ります。

この種の「起動の入口」を狙う攻撃は近年とくに増えています。当サイトでも、セキュアブート（正規のOSだけを起動させる仕組み）を回避する欠陥を取り上げました。パソコンの「いちばん最初に動く部分」は、守りの土台であると同時に、攻撃者にとって魅力的な突破口になっています。

技術的に何が起きているのか

鍵になるのは、Windowsの回復環境（WinRE：Windows Recovery Environment）です。WinREは、Windowsが起動しなくなったときの修復用に用意された特別な起動モードで、通常のWindowsとは別の経路で立ち上がります。CERT/CCのVU#226679によると、このWinREへ入る代替の起動経路では、通常のOS起動時に効くUEFI/BIOSのセキュリティ確認が一貫して適用されないことがあり、起動順を指示する「BootNext」という変数が認証されないため、ファームウェアのパスワードをすり抜けられます。

BitLockerの突破はこの延長線上にあります。公開された手口では、端末を細工した起動オプションで強制的にWinREへ落とし込み、アクセス制御の抜けを突いてコマンド画面を開き、セキュリティチップ「TPM」が保持する情報（PCR値）を読み出してディスクの暗号鍵を組み立て直します。早い段階で動く「BootExecute」の仕組みに紛れ込ませる手口も報告されています。一連の流れは2分足らずで完了するとされ、必要な道具はUSBメモリだけです。

この問題はWindows単体の話にとどまらず、PCのファームウェア（UEFI/BIOS）側の作りにも関係します。CERT/CCの調整では、AMI・Insyde・Intel・Supermicroは対策済みまたは非該当とされる一方、GIGABYTEは影響ありで「設計上のトレードオフ」と判断したと整理されています。つまり、Windowsの更新を当てたうえで、お使いの機種のファームウェア側の状況も確認するのが安全です。

いま分かっていること・まだ分からないこと

その後の動き：2026年7月の月例更新でも別のBitLocker回避が修正

YellowKeyの修正で話は終わりませんでした。2026年7月14日の月例更新（約570件の修正を含む）には、BitLockerの保護を回避できる別の欠陥の修正が含まれています。

CVE-2026-50661：手口が公表済みだったもう1件のBitLocker回避

CVE-2026-50661 は、セキュリティ機能の回避（Security Feature Bypass）に分類される欠陥で、深刻度はCVSS 6.1。YellowKeyと同じく端末への物理アクセスが前提です。修正の時点で手口が公表されていた「公開済みゼロデイ」として扱われましたが、実際の悪用は報告されておらず、2026年7月23日時点でKEVにも登録されていません。Rapid7 やTenableは、YellowKeyを公表したのと同じ研究者（Chaotic Eclipse / Nightmare Eclipse）が公表していた「GreatXML」と呼ばれる手口に対応する可能性を指摘しています。

BitLockerとWinREの周辺は、いま研究者が集中的に調べている領域で、同種の欠陥は今後も見つかる可能性があります。個別のCVE番号を追いかけるより、月例更新を毎月当てる運用にしておくのが確実です。

何をすべきか

最優先は、Windows Updateを最新の月例更新まで適用することです。YellowKey（CVE-2026-45585）は2026年6月10日の月例更新で、後続のCVE-2026-50661は2026年7月14日の月例更新で塞がれています。Microsoftの更新ガイド（CVE-2026-45585）を参照しつつ、6月の更新で止まっている端末は7月の月例更新まで進めてください。そこまで当たっていれば、この記事で扱った欠陥はどちらも塞がれています。

そのうえで、暗号化の守りを底上げする設定も有効です。BitLockerを「TPM＋PIN」（起動時に暗証番号の入力を求める方式）にしておくと、たとえ似た手口が出てきても、PINを知らない攻撃者には鍵が渡りません。なお、修正前のつなぎとしてMicrosoftが2026年5月20日に案内していた緩和策（回復環境WinREの一時無効化 reagentc /disable、起動時の管理者認証、USBメディアやEFIシステムパーティションからの起動制限）は、修正を適用済みなら続ける必要はありません。特にWinREを無効化したままだと通常の修復機能まで使えないため、戻し忘れがないか確認してください。組織で多数の端末を管理している場合は、月例更新の適用状況を一覧で確認し、紛失・盗難時の対応手順も「暗号化済みだから安全」を前提にしないよう見直しておくとよいでしょう。最後に、物理的な持ち出し・放置を減らす基本的な端末管理も、この種の攻撃には確実に効きます。

Windows更新後にBitLockerの回復キーを求められたら（攻撃とは別の事象）

ここからは、YellowKeyという「攻撃」とは切り分けて読んでください。2026年6月以降の月例更新を当てた直後に、BitLockerの回復キー（48桁の数字）の入力をいきなり求められた、あるいは起動できなくなった、という事象が一部の端末で起きています。これは欠陥を突かれたのではなく、更新の副作用です。落ち着いて対処すれば、データは失われません。

なぜ起きるのか。2011年に発行されたセキュアブート（正規のOSだけを起動させる仕組み）の証明書が、2026年6月から順次期限切れを迎えています（Microsoftの解説にある「Microsoft Corporation KEK CA 2011」は2026年6月24日に期限切れ済み）。Microsoftはこれに備え、月例更新で2023年の新しい証明書への移行を進めています。更新でWindowsの起動部分（ブートマネージャー）が変わると、セキュリティチップTPMが起動状態を記録する値「PCR7」が変化し、BitLockerが「起動構成が変わった＝改ざんの疑い」と判断して回復キーを求める、という流れです。Microsoftは更新自体はBitLockerに対応済み（自動で鍵を再シール）としていますが、一部の構成では回復要求が出ます。HP EliteBook 840 Gシリーズなどで報告が目立ちます。

該当しやすい条件。OSドライブでBitLockerが有効で、グループポリシー「ネイティブUEFIファームウェア構成のTPMプラットフォーム検証プロファイルを構成する」でPCR7を検証対象に含み、かつmsinfo32（システム情報）の「PCR7バインドのサポート」が「不可能（Not Possible）」になっている端末で起きやすい、と整理されています。自組織の端末がこの条件に当てはまるかを先に確認すると、影響範囲を見積もれます。

回復キー（48桁）の探し方

ユーザー自身に解決させる場合は、Intune企業ポータルからの自己取得も使えます。組織展開の前に、全端末の回復キーがEntra ID／Active Directoryに退避（エスクロー）されているかを必ず確認しておくと、回復要求が一斉に出ても慌てずに済みます。

回復要求を防ぐ・解消する（PCR7の再シール）

回復キーを入力すればその場は起動します。再発を防ぐ、あるいは更新前に予防するなら、BitLockerを一時中断（suspend）してから更新・再起動し、再開（resume）するのが確実です。中断中に再起動すると、新しいセキュアブートの状態に鍵が結び直されます。管理者権限のコマンドプロンプトでの操作は次の通りです。

GUIなら「コントロールパネル ＞ BitLockerドライブ暗号化」で対象ドライブの「保護の中断」を選び、更新・再起動後に「保護の再開」を選びます。多数の端末を管理する場合は、まず該当条件の端末を切り分け、回復キーのエスクローを確認したうえで、中断→更新→再開を計画的に流すのが安全です。

なお、同じ2026年6月の月例更新では、もう1件のBitLocker回避 CVE-2026-50507 も修正されています。こちらは起動時のPIN（暗証番号）を設定していない「TPM単独」構成で特に効くとされるため、TPM＋PINへの切り替えはYellowKey対策としても二重に有効です。実際に悪用が確認された脆弱性は米CISAの「実際に攻撃されている脆弱性リスト（KEV）」に追加されますが、2026年7月23日時点で、この記事で触れたCVE-2026-45585・50507・50661はいずれも登録されていません。最新の登録状況はCISA KEVダッシュボード（日本語版）で確認できます。

まとめ

CVE-2026-45585（YellowKey）は、Windowsの回復環境WinREを悪用し、物理アクセスとUSB1本でBitLockerのディスク暗号化やUEFI/BIOSパスワードを数分で突破できた欠陥です。対象はWindows 11（24H2 / 25H2 / 26H1）とWindows Server 2025で、Microsoftが2026年6月10日の月例更新で修正済み。公開から約2ヶ月の2026年7月23日時点で、KEV登録や実際の悪用の確認はありません。Windows Updateをこの更新以降まで当てていれば、追加の対応は不要です。

ただし2026年7月の月例更新でも別のBitLocker回避（CVE-2026-50661）が修正されており、この領域の欠陥探しは続いています。月例更新を毎月当てる運用と、BitLockerのTPM＋PIN化、端末の物理管理の見直しをあわせて進めてください。パソコンの「いちばん最初に動く部分」を守ることが、暗号化を本当に意味のあるものにします。

参照元

• ・JVN — JVNVU#90386605（WinREによるUEFI/BIOSパスワード制限回避）
• ・Microsoft — Windows のセキュアブート証明書の期限切れと CA の更新
• ・Microsoft — セキュアブート証明書が期限切れになるとき
• ・Microsoft Learn — BitLocker 回復の概要（回復キーの保管先）
• ・NVD — CVE-2026-50507（第2のBitLocker回避、6月更新で修正）
• ・CERT/CC — VU#226679
• ・Microsoft MSRC — CVE-2026-45585
• ・Help Net Security — YellowKey の緩和策
• ・SecurityWeek — YellowKey向け緩和策の展開
• ・BleepingComputer — 2026年7月の月例更新（約570件修正）
• ・Rapid7 — Patch Tuesday July 2026（CVE-2026-50661）
• ・BleepingComputer — BitLocker 0day、PoC公開
• ・関連：セキュアブート回避の脆弱性（当サイト）