Kendini “Chaotic Eclipse” veya “Nightmare-Eclipse” olarak tanıtan güvenlik araştırmacısı, Microsoft platformlarını hedef alan yeni sıfır gün (zero-day) açıklarını kamuoyuna açıkladı. Açıklanan zafiyetler arasında BitLocker korumasını aşabilen “YellowKey”, yetki yükseltme sağlayan “GreenPlasma” ve ayrıca Microsoft Teams üzerinde spoofing saldırılarına izin veren bir güvenlik açığı bulunuyor.
Microsoft ile Güvenlik Araştırmacısı Arasındaki Gerilim Sürüyor
Chaotic Eclipse daha önce de Windows Defender üzerinde keşfettiği açıkları Microsoft’a bildirmiş ancak araştırmacının iddiasına göre şirket bu açıkları yeterince kritik bulmamıştı. Bunun ardından araştırmacı:
- BlueHammer
- RedSun
- UnDefend
isimli çeşitli sıfır gün açıklarını ve exploit kodlarını kamuya açık şekilde paylaşmıştı. Şimdi ise iki yeni açık daha duyuruldu: YellowKey ve GreenPlasma.
YellowKey: BitLocker Korumasını Aşabiliyor
Araştırmacının paylaştığı bilgilere göre YellowKey isimli açık, Windows 11 ve yeni nesil Windows Server sürümlerinde kullanılan BitLocker korumasını bypass edebiliyor.
İddiaya göre saldırgan:
- Belirli bir klasörü USB belleğe veya EFI bölümüne kopyalıyor,
- Sistem yeniden başlatılırken belirli tuş kombinasyonlarını kullanıyor,
- Ardından kilitli BitLocker sürücüsüne tam erişim sağlayabiliyor.
Yapılan ilk teknik analizlerde, Windows Recovery Environment (WinRE) içerisinde “FailRelock” isimli bir flag bulunduğu ve bu değer aktif olduğunda sürücünün recovery sonrası tekrar kilitlenmediği öne sürülüyor.
Güvenlik araştırmacıları, Microsoft’un üretim ortamında debug/test mekanizmalarını bıraktığını iddia ediyor.
GreenPlasma: SYSTEM Yetkisine Giden Yol
İkinci açık olan GreenPlasma ise Windows’un ctfmon.exe bileşenini hedef alıyor. Açık, belirli object cache mekanizmalarının manipülasyonu üzerinden yetki yükseltme (Elevation of Privilege) sağlıyor.
Teknik analizlere göre saldırı:
- Cloud Files policy anahtarlarını manipüle ediyor,
- ACL izinlerini değiştiriyor,
- SYSTEM seviyesinde çalışan nesnelerin kullanıcı tarafından etkilenebilmesini sağlıyor.
Araştırmacı exploit kodunun yalnızca bir kısmını yayımladı ve kalan kısmı “challenge” olarak bıraktı.
Microsoft Teams İçin de Yeni Spoofing Açığı
Açıklanan sorunlar yalnızca Windows çekirdeğiyle sınırlı değil. Microsoft Teams üzerinde de spoofing saldırılarına izin veren yeni bir güvenlik açığı tespit edildi.
CVE-2026-32185 olarak takip edilen açık:
- Teams içerisindeki dosya ve dizin erişim mantığındaki tasarım zafiyetinden kaynaklanıyor,
- Saldırganların güvenilir bileşenleri taklit etmesine olanak sağlayabiliyor,
- CVSS 3.1 skorunda 5.5 seviyesinde derecelendiriliyor.
Microsoft’un bu açığı 12 Mayıs 2026 tarihinde düzelttiği belirtiliyor.
Araştırmacı Microsoft’a Tepkili
Chaotic Eclipse yaptığı açıklamada Microsoft’un güvenlik araştırmacılarına yaklaşımını sert şekilde eleştirdi. Araştırmacı:
“Microsoft durumu yetişkinler gibi çözmek yerine daha kötü hale getirdi.”
ifadelerini kullandı. Ayrıca bir sonraki Patch Tuesday döneminde Microsoft’u daha büyük sürprizlerin beklediğini de öne sürdü.
Kurumlar İçin Risk Ne?
Özellikle YellowKey açığı dikkat çekici çünkü:
- Fiziksel erişim senaryolarında BitLocker güvenliğini etkileyebilir,
- Recovery ortamı üzerinden saldırı yüzeyi oluşturabilir,
- Kurumsal cihazlarda veri koruma politikalarını zayıflatabilir.
GreenPlasma ise yetki yükseltme saldırıları açısından kritik önem taşıyor. Özellikle düşük yetkili kullanıcıdan SYSTEM seviyesine geçiş senaryoları kurumsal ortamlarda ciddi risk oluşturabilir.
Microsoft son dönemde Windows 11, BitLocker ve Defender tarafında peş peşe gelen güvenlik sorunlarıyla gündemde kalmaya devam ediyor. Chaotic Eclipse tarafından açıklanan YellowKey ve GreenPlasma açıkları henüz tam anlamıyla resmi teknik detaylarla doğrulanmasa da güvenlik topluluğunda ciddi yankı uyandırmış durumda.
Özellikle BitLocker bypass iddiaları ve SYSTEM yetki yükseltme senaryoları, önümüzdeki dönemde Microsoft’un yeni güvenlik güncellemeleri yayınlamasına neden olabilir.
