2026年5月，Windows安全圈被一组名字点燃了，YellowKey、GreenPlasma、BlueHammer、RedSun。表面上看，这是一次漏洞公开，往深处看，却像一记敲在信任体系上的闷锤：当一个安全研究者不再选择沉默，厂商该怎么接住这份“提醒”？
事件的起点并不复杂。前一批针对WindowsDefender的零日漏洞被公开后，微软已经完成修复；紧接着，新的两个漏洞被放出来，指向BitLocker和本地提权链路。一个碰到物理接触就能撬开加密盘，一个可以把权限直接推到SYSTEM级别。这个组合拳的分量，不在技术名词，而在它击中的地方太敏感了
YellowKey的冲击点，是BitLocker。这个功能长期被当成硬盘保护的底座，密码、密钥、TPM、PIN，一层接一层，很多人默认它能挡住绝大多数现实风险。可这次的触发方式异常简单，特定文件写入U盘，重启进Windows恢复环境，再按住Ctrl，系统就会落到高权限命令行，原本受保护的卷直接暴露出来
更扎眼的是它的“痕迹感”几乎没有。研究者描述的文件会在使用后消失，这种设计让它看起来不像常规漏洞，更像一条预埋的隐蔽通道。说白了，真正可怕的不是绕过加密本身，而是绕过之后几乎不留门铃
不同安全媒体的反应，几乎都指向同一个关键词，物理访问面。一个主流安全站点把它写成“BitLocker信任链被扯开一道口子”，另一个把重点放在WinRE上，认为恢复环境这块平时被忽视的区域，可能才是系统安全里最脆的地方。还有技术媒体直接把它描述成“像后门”，因为它符合太多后门特征，触发稳定，行为隐蔽，目标明确
GreenPlasma的关注度没有低多少。它不是去碰磁盘加密，而是从CTFMon相关进程切入，借由Windows对象管理器里的段对象，把写入权限一路推到SYSTEM。这个链路听上去绕，实际意义却很直白，普通本地权限被直接拔高，系统控制权被拿走
研究者给出的技术说明里，有一个细节值得记住。它不是单纯展示“能提权”，而是在告诉所有人，Windows内部组件之间的边界并没有外界想象得那么硬。很多安全认知建立在“默认隔离”上，而这类漏洞的出现，等于把默认二字拿掉了
围绕这件事的态度也分得清楚。安全从业者的讨论集中在两点，一点是协调披露的失效，一点是厂商响应的节奏。对比之下，普通用户更关心的是实际风险，特别是企业笔记本、服务器、移动办公设备这些场景，物理接触和恢复环境一旦失守，后果就不只是一台机器的问题了
公开信息里能拼出的关键数据也很清晰。BlueHammer已经对应到CVE-2026-33825，微软在4月补上了修复；YellowKey和GreenPlasma在5月再次出现，公开后短时间内就引发扩散讨论。研究者所指向的系统版本包括Windows Server 2022、Windows Server 2025，以及部分Windows 11环境，Windows 10则被排除在外，这个版本差异本身就说明问题藏得有多深
社交场上的评价，情绪非常集中。一个明显的态度是佩服，认为研究者没有把漏洞拿去出售，而是选择公开，至少在动机上保留了技术伦理的影子。另一种态度是担心，认为一个能影响BitLocker的漏洞，已经不只是“修一个补丁”的问题，而是企业资产管理、终端防护、物理安全一起被迫重算账
再往深一点看，这件事至少带出几条值得记住的线索。协调披露不是流程问题，而是信任问题，厂商如果只看结论，不看证据链，后面就会反噬自己。WinRE不是备用通道，而是高风险入口，平时被忽略，出事时却会成为主入口。BitLocker不是失效了，而是它依赖的前提被挑战了，密钥、TPM、PIN这些方案再完整，也挡不住设计层面冒出的缝
还有一个细节容易被忽略。攻击文件在使用后会消失，这说明研究者对隐蔽性做了精细设计。对防守方来说，这意味着传统的日志回溯、文件取证、痕迹比对会变得吃力，安全团队必须把关注点前移到设备接触、恢复环境调用、异常重启和可移动介质管理上
这次事件也再次提醒了一件事，漏洞传播从来不只靠代码，还靠叙事。一个名字、一次公开、几段演示，就能把原本藏在系统内部的风险，瞬间推到所有人面前。技术世界里，真正动摇人心的，从来不是“有没有漏洞”，而是“我们以为没漏洞”
如果把整个事件压缩成一句话，那就是安全边界不是墙，是门，门若被证明能轻易打开，后面的所有防线都要重新审视。BitLocker这次被推到台前，不是因为它不重要，而是因为它太重要了
这类事件接下来会留下些什么，修复补丁、策略调整、设备管控、恢复环境收紧，都会出现。可比起补丁本身，真正值得盯住的，是厂商如何面对一次公开的失望，以及整个行业如何重新理解“安全”这两个字。答案不会立刻出现，留在桌面上的，是一串还没写完的问号
全部评论