La vulnerabilidad YellowKey permite eludir el cifrado de BitLocker con acceso físico. Protege tus datos sensibles ajustando la configuración a TPM + PIN y aplicando las actualizaciones necesarias.
Activaste BitLocker, el cifrado de disco de Windows. Es sencillo: al robar tu portátil, el ladrón se enfrenta a un disco ilegible y tus datos quedan protegidos. Suena bien, pero la vulnerabilidad conocida como YellowKey, revelada en mayo de 2026, demuestra que en su configuración por defecto, BitLocker se elude con un acceso físico a la máquina. No se necesitan herramientas sofisticadas. Solo unos minutos solos con tu PC.
No hay razón para entrar en pánico. Aunque el riesgo es real, está limitado. La solución es un simple ajuste. Aquí te explico la vulnerabilidad YellowKey, quiénes son los verdaderamente afectados y qué pasos seguir si manejas datos sensibles en un portátil.
📌 Lo esencial a retener
La vulnerabilidad BitLocker YellowKey (CVE-2026-45585) permite eludir el cifrado únicamente con acceso físico a la máquina. Afecta a la configuración TPM solo, que es la más común. La solución: cambia a TPM + PIN, así te solicitará un código al inicio. Realiza la mitigación de Microsoft publicada en mayo de 2026 a través de Windows Update. Un PC de escritorio en casa tiene un riesgo bajo; un portátil con datos sensibles, en cambio, requiere acción inmediata.
¿Qué es YellowKey, concretamente?
YellowKey, o CVE-2026-45585, es una vulnerabilidad identificada como un bypass de seguridad, con una severidad de 6.8 sobre 10. Fue revelada por un investigador llamado Nightmare Eclipse, quien proporcionó un código de demostración.
¿Cómo funciona? Un atacante con acceso físico a la máquina logra entrar en el entorno de recuperación de Windows (WinRE). Ahí, manipula ciertos archivos del sistema, lo que provoca que se elimine un archivo de configuración clave. El resultado: el sistema abre una ventana de comandos sin restricciones justo cuando el disco protegido por BitLocker se desbloquea. El ladrón puede acceder a tus datos sin esfuerzo.
Las versiones afectadas son Windows 11 24H2, 25H2 y 26H1 de 64 bits, además de Windows Server 2025. Si estás usando alguna de estas versiones, podrías estar en riesgo.
El detalle que cambia todo: el acceso físico
Entiende bien esto: YellowKey requiere acceso físico a la máquina. No se puede ejecutar este ataque de forma remota. El riesgo se da en situaciones como un portátil robado, uno olvidado en un tren o un ordenador desatendido en un hotel.
Un PC de escritorio en casa tiene poco riesgo. Pero un portátil que viaja contigo y lleva información confidencial es otro escenario. Ese es el perfil que debe actuar.
Y hay otro aspecto importante. YellowKey ataca la configuración más común de BitLocker: el modo TPM solo. Este chip de seguridad desbloquea el disco automáticamente al arrancar sin solicitar nada. Muy práctico, pero esta transparencia es exactamente lo que vulnera la seguridad. Sin protección en el arranque, el ataque tiene un camino despejado.
La respuesta de Microsoft: una solución, no realmente un parche
Microsoft tomó cartas en el asunto rápidamente. Publicaron una mitigación el 20 de mayo de 2026, seguida de una actualización de script el 21 de mayo. Es clave notar que es una medida de mitigación, no un parche que cierre el agujero. La protección se basa en ajustes que debes aplicar tú mismo. En otras palabras,
Instalar actualizaciones no basta. Fortalece tu configuración.
Vamos a ver qué realmente te protege.
Los 5 gestos para poner tus datos a salvo
- Pasa BitLocker en modo TPM + PIN. Esta es la mejor opción. En lugar de desbloquear el disco solo, el PC te pedirá un PIN al inicio, antes de que Windows cargue. Sin este código, ni el entorno de recuperación tiene acceso. Activa esto mediante políticas de grupo y la herramienta manage-bde o BitLocker. Si gestionas dispositivos en una empresa, esta configuración es prioritaria.
- Instala la mitigación de Microsoft a través de Windows Update. Busca actualizaciones y aplica todo lo que encuentres. La medida de mayo de 2026 cierra parte de la ruta de ataque. Esto no reemplaza el PIN; complementa la seguridad.
- Para usuarios avanzados: neutraliza el desencadenante. La mitigación elimina el valor autofstx.exe de la configuración de inicio de Windows. Si te sientes cómodo editando el registro, esto corta el mecanismo que explota YellowKey. Cuidado: un error en el registro puede romper el arranque.
- Cuidado con la seguridad física. No dejes un portátil con información sensible desatendido en un lugar inseguro. Apagar completamente el PC en lugar de dejarlo en suspensión también reduce posibles amenazas sobre la memoria.
- Considera una alternativa si deseas salir del ecosistema Microsoft. VeraCrypt, gratuito y de código abierto, ofrece cifrado completo del disco con contraseña antes de iniciar. No es necesariamente más sencillo que BitLocker, y requiere ciertos cuidados (respaldo de la clave de recuperación obligatorio), pero es una opción sólida si quieres un cifrado independiente de Windows.
Lo que hay que recordar
Si transportas datos sensibles en un portátil, activa el modo TPM + PIN ahora mismo. Esta es la acción que convierte a YellowKey en un callejón sin salida para los delincuentes. También, inicia Windows Update para recibir la mitigación de mayo de 2026. Recuerda, la vulnerabilidad se convierte en un problema solo con acceso físico a tu máquina.
Mi consejo, si solo pudiera quedarme con uno: TPM por sí solo ya no es suficiente para un portátil. El PIN al inicio añade un par de segundos a tu rutina y cierra la puerta que YellowKey intenta abrir. Para un PC de escritorio en casa, puedes preverlo. Pero tener ese reflejo siempre es saludable.
Preguntas frecuentes
¿Estoy afectado por la vulnerabilidad BitLocker YellowKey?
Sí, si tu PC funciona con Windows 11 24H2, 25H2, 26H1 (64 bits) o Windows Server 2025, con BitLocker en modo TPM solo. Pero el ataque requiere acceso físico: los portátiles son más vulnerables. Un PC de escritorio en casa está más protegido.
¿Puede YellowKey ser explotada a distancia?
No. La vulnerabilidad CVE-2026-45585 necesita que el atacante tenga la máquina en sus manos. No hay riesgo mientras navegas o revisas correos. El peligro surge si el PC se pierde, es robado o dejado sin vigilancia.
¿Cómo pasar BitLocker en modo TPM + PIN?
Activa la política de grupo "Requerir autenticación adicional al inicio", y configura el PIN mediante la herramienta manage-bde o el panel de BitLocker. Así, tu PC solicitará un código al inicio, bloqueando a YellowKey.
¿Instalar las actualizaciones de Windows es suficiente para protegerme?
No necesariamente. Microsoft lanzó una medida de mitigación en mayo de 2026, no un simple parche. Esto cierra parte del camino.
El gesto realmente efectivo es pasar a TPM + PIN.
¿Debo abandonar BitLocker por otra solución?
No es obligatorio. BitLocker se mantiene robusto al configurarlo con TPM + PIN. Si buscas cifrado fuera de Windows, considera VeraCrypt: es gratuito y de código abierto, aunque requiere más atención en su gestión.
Si deseas encontrar artículos similares a BitLocker YellowKey: ¿están tus datos a salvo?, te sugerimos revisar la categoría Seguridad.
Deja una respuesta