【BitLockerを過信しないで！】「YellowKey」脆弱性の仕組みとTPM+PINに切り替えてノートPCを守る方法

「ノートPCが盗まれてもBitLockerで暗号化しているから大丈夫」と思っていませんか？実はその設定によっては、BitLockerの暗号化をあっさり破られてしまう脆弱性が2026年5月に公開されました。

その脆弱性の名前は「YellowKey（CVE-2026-45585）」です。特殊なUSBメモリを挿して再起動するだけで、BitLockerで保護されたドライブの中身を丸ごと読み取れてしまうという、非常に深刻な問題です。

この記事では、YellowKey脆弱性の仕組みをわかりやすく解説し、今すぐできる対策（特に「TPM+PIN」への切り替え手順）を詳しく説明します。

まず確認！あなたのPCは対象？

YellowKey脆弱性の影響を受けるのは以下のWindowsバージョンです。

影響を受けるOS： Windows 11（24H2・25H2・26H1）、Windows Server 2025

影響を受けないOS： Windows 10（WinREの仕組みが異なるため非対象）

さらに重要なのは「BitLockerの設定方法」です。TPMのみでBitLockerを有効にしている場合は脆弱性の影響を受けます。TPM+PINを設定している場合は現時点で公開されている攻撃コードでは破れません（ただし後述の注意点があります）。

Windows 11 HomeやProでBitLockerを有効にしたとき、多くの場合はデフォルトで「TPMのみ」になっています。PINを設定した記憶がない方は、TPM-onlyの可能性が高いです。

YellowKey脆弱性の仕組み

少し技術的な話になりますが、なぜこんな攻撃が可能なのかを理解しておくと、対策の重要性がわかります。

Windowsには「WinRE（Windowsリカバリー環境）」という、PCが起動できないときなどに使う回復用の環境が内蔵されています。YellowKey脆弱性はこのWinREを悪用します。

攻撃の流れはこうです：

①　攻撃者が「FsTx」という特殊なフォルダを仕込んだUSBメモリを用意する。

②　対象のPCにそのUSBを挿し、WinRE（回復環境）を起動させる。

③　WinREが起動中に「FsTxフォルダ」を自動処理するとき、通常の回復UIの設定ファイル（winpeshl.ini）が削除されてしまう。

④　設定ファイルがないと、WinREはフォールバックとして「コマンドプロンプト（cmd.exe）」を起動してしまう。

⑤　このコマンドプロンプトはBitLockerで保護されたドライブにフルアクセスできる状態になっている。

つまり、BitLockerはTPMが自動的に鍵を解除して「ドライブを復号済みの状態」にしてしまうため、コマンドプロンプトからファイルが丸見えになるということです。特別なツールも、Windowsのログインパスワードも不要です。

なお、USBを使わずにPCのEFIパーティションに直接書き込む方法や、ドライブを取り外して別のPCでEFIパーティションを改ざんしてから戻す方法なども報告されており、ノートPCを短時間でも手放した場合に危険です。

TPM+PINなら安全？注意点もあります

「TPM+PIN」を設定していれば、現在公開されている攻撃コードでは破れません。PINがないとTPMがドライブの鍵を解除しないため、攻撃者がコマンドプロンプトを起動できても、ドライブは暗号化されたままです。

ただし注意点があります。YellowKeyを発見した研究者は「TPM+PINも破れるバリアントを開発・テスト済みだが、まだ公開していない」と明言しています。つまり、TPM+PINも将来的には破られる可能性があります。

また、別の攻撃手法として過去には「TPMバス盗聴」（TPMチップとCPUを繋ぐ通信線から暗号鍵を盗み取る方法）も実証されています。こちらは特殊なハードウェアが必要ですが、専用チップ搭載のラップトップが対象です。

対策は多層防御が基本です。TPM+PINへの切り替えは必須ですが、それだけで完全に安全というわけではありません。

対処法①：Windowsアップデートを最新にする（KB5094126）

Microsoftは2026年6月のWindowsアップデートでYellowKey脆弱性への緩和策を含む更新プログラムをリリースしました。まずはWindowsを最新の状態に保つことが基本対策です。

①　スタートメニューを開き、「設定」をクリックします。

②　「Windows Update」をクリックします。

③　「更新プログラムの確認」をクリックし、すべてのアップデートを適用します。

④　PCを再起動して更新を完了させます。

なお、このアップデートはWinRE内の脆弱なコンポーネントを修正するものです。Windowsアップデートを適用するだけでなく、後述の「TPM+PIN設定」も合わせて行うことをMicrosoftは強く推奨しています。

対処法②：BitLockerをTPM+PINモードに切り替える（最重要）

これが最も重要な対策です。現在「TPMのみ」でBitLockerを使っている場合は、「TPM+PIN」に切り替えることでYellowKey攻撃を防ぐことができます。

設定にはPowerShell（管理者権限）を使います。手順はやや技術的に見えますが、コマンドをコピー＆ペーストするだけなので安心してください。

【事前確認】現在のBitLocker設定を確認する

①　スタートメニューを右クリックし、「ターミナル（管理者）」を選択します。

②　以下のコマンドを入力してEnterを押します。

manage-bde -protectors -get C:

③　表示される「プロテクターの種類」を確認します。「TPM」とだけ表示されている場合は切り替えが必要です。「TPM と PIN」と表示されていれば既にTPM+PIN設定済みです。

【設定変更】TPM+PINプロテクターを追加する

①　引き続き管理者PowerShellで以下のコマンドを入力します。

manage-bde -protectors -add C: -TPMAndPIN

②　「PINを入力してください」と表示されるので、覚えやすい数字のPIN（6桁以上推奨）を入力します。

③　「PINを確認してください」と表示されるので、同じPINをもう一度入力します。

④　「プロテクターが正常に追加されました」と表示されれば成功です。

【古いTPM-onlyプロテクターを削除する】

①　再度以下のコマンドで現在のプロテクター一覧を確認します。

manage-bde -protectors -get C:

②　「TPM」（PINなし）のプロテクターに表示されている「ID」（{xxxxxx-xxxx-…}という形式）をメモします。

③　以下のコマンドでそのIDのプロテクターを削除します（IDの部分は自分の環境のものに置き換えてください）。

manage-bde -protectors -delete C: -id {ここにIDを貼り付け}

④　PCを再起動すると、起動時にPIN入力を求める画面が表示されるようになります。設定したPINを入力してWindowsを起動してください。

⚠️ 注意：PINを忘れると起動できなくなります。必ずBitLocker回復キーをMicrosoftアカウントやUSBに保存しておきましょう。回復キーは「manage-bde -protectors -get C:」コマンドで確認できます。

対処法③：WinREを無効化する（上級者向け）

WinRE（回復環境）そのものを無効化することで、YellowKey攻撃の入口を塞ぐ方法もあります。ただし、この設定を行うと「Windowsが起動しないときの自動修復」や「PCをリセットする」機能が使えなくなります。企業の管理者やIT知識のある方向けの対策です。

①　管理者PowerShellで以下のコマンドを実行します。

reagentc /disable

②　「WINREの状態：無効」と表示されれば完了です。

WinREを再び有効にしたい場合は「reagentc /enable」で元に戻せます。なお、Windowsアップデート適用時に自動的に再有効化される場合があるため、定期的に確認することをお勧めします。

そのほかの対策：盗難・紛失への備え

YellowKeyのような物理アクセスを使う攻撃は、ノートPCの盗難・紛失が最大のリスク要因です。BitLockerの設定と合わせて、以下の対策も意識しておきましょう。

重要なファイルはOneDriveや外付けHDDにバックアップする：万が一PCが盗まれたとき、データが失われないよう定期的なバックアップが大切です。

Windowsの「デバイスの検索」を有効にする：設定→プライバシーとセキュリティ→「デバイスの検索」をオンにすることで、紛失したPCの場所をMicrosoftアカウントから追跡できます。

PCを人の多い場所に放置しない：YellowKey攻撃には物理的なアクセスが必要です。カフェや空港でPCを席に置いたまま離れることは避けましょう。

まとめ

YellowKey（CVE-2026-45585）はBitLockerのTPM-only設定の盲点を突いた脆弱性で、ノートPCを使うすべてのWindows 11ユーザーが対策を検討すべき問題です。

今すぐできる対策をまとめると次のとおりです。

対処法①：Windowsアップデートを最新にする（KB5094126を含む6月更新を適用）

対処法②：BitLockerをTPM+PINモードに切り替える（最重要）

対処法③：WinREを無効化する（上級者向け・IT管理者向け）

特にノートPCをよく持ち出す方は、今すぐTPM+PINの設定を行うことをお勧めします。PINを設定することで「毎回起動時にPINを入力する」という手間は増えますが、大切なデータを守るためのコストとしては十分に見合うものです。

設定変更の際は必ずBitLocker回復キーを控えておき、安全な場所に保管しておきましょう。万が一PINを忘れた場合でも、回復キーさえあればPCを起動できます。

📖 関連記事：【要注意】Windows Defenderの未修正ゼロデイ「RoguePlanet」とは？完全パッチ済みでも危ない理由と今できる対策 ／ 【要注意】Windows Defenderの未修正ゼロデイ「RoguePlanet」とは？完全パッチ済みでも危ない理由と今できる対策 ／ 【完全パッチ済みでも危険！】Microsoft Defenderの新ゼロデイ「RoguePlanet」でSYSTEM権限が奪われる仕組みと今すぐできる対策

よくある質問