微軟已修復影響Windows BitLocker加密功能的兩處重大權限提升漏洞。這兩個漏洞編號為CVE-2025-54911和CVE-2025-54912，于2025年9月9日披露，嚴重等級被評定為"重要"。

漏洞技術細節

這兩處漏洞可能允許已獲得授權的攻擊者在受感染機器上獲取完整的SYSTEM權限，從而繞過BitLocker設計實施的安全防護層。微軟指出，漏洞利用的可能性"較低"，截至披露時，尚未發現公開的技術細節或野外利用案例。

BitLocker權限提升漏洞分析

CVE-2025-54911和CVE-2025-54912均被歸類為"釋放后使用"(Use-After-Free)漏洞，這是一種常見且危險的內存損壞缺陷。該弱點在CWE分類中被標記為CWE-416，當程序在內存被釋放后仍繼續使用指向該內存位置的指針時就會發生。

攻擊者若能影響寫入這個已釋放內存空間的數據，通常就能操控程序的執行流程。在本案例中，惡意行為者可以利用這種控制權執行任意代碼，最終實現完全控制系統。BitLocker這樣關鍵安全組件中存在兩處不同的"釋放后使用"漏洞，凸顯了在復雜軟件中維護內存安全性的持續挑戰。

成功利用其中任一漏洞都會導致完整的權限提升。攻擊者利用這些缺陷可獲得Windows系統中的最高權限級別——SYSTEM級訪問權限，從而具備安裝程序、查看/修改/刪除數據以及創建具有完整用戶權限的新賬戶的能力。

根據微軟提供的CVSS指標，攻擊需要攻擊者已在目標系統上擁有低級權限。此外，漏洞利用還需要某種形式的用戶交互，這意味著攻擊者需要誘騙授權用戶執行特定操作。這一前提條件使得遠程自動化攻擊更加困難，但對于已獲得初始立足點的攻擊者而言，風險并未降低。

緩解措施

針對這一發現，微軟已在2025年9月的"補丁星期二"更新中修復了這些漏洞。該公司敦促用戶和管理員立即應用最新更新以保護系統免受潛在攻擊。雖然目前評估漏洞利用可能性較低，但潛在影響的嚴重性仍需要立即采取行動。

CVE-2025-54912的發現歸功于與微軟合作的安全研究員Hussein Alrubaye，這表明微軟與外部安全研究人員在識別和解決關鍵安全問題方面存在協作。建議用戶通過標準Windows Update服務檢查更新，確保系統不再受這些權限提升漏洞的影響。