Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Certighost to podatność w usługach Active Directory Certificate Services (AD CS), oznaczona jako CVE-2026-54121. Luka dotyczy procesu obsługi żądań certyfikatów w środowiskach domenowych Windows i może umożliwić uwierzytelnionemu atakującemu uzyskanie certyfikatu pozwalającego podszyć się pod konto maszyny, w tym nawet pod kontroler domeny.
W praktyce oznacza to ryzyko pełnej kompromitacji domeny Active Directory. Problem jest szczególnie istotny, ponieważ AD CS stanowi element zaufanej infrastruktury tożsamości, a nadużycia w tym obszarze mogą prowadzić do eskalacji uprawnień na najwyższym poziomie.
W skrócie
Podatność została załatana przez Microsoft w lipcu 2026 roku, jednak publiczne udostępnienie kodu proof-of-concept znacząco zwiększyło ryzyko jej praktycznego wykorzystania. Scenariusz ataku pokazuje, że użytkownik z niskimi uprawnieniami domenowymi może doprowadzić do wydania certyfikatu umożliwiającego uwierzytelnienie jako kontroler domeny.
- Podatność dotyczy AD CS i procesu mapowania tożsamości w żądaniach certyfikatów.
- Atak może rozpocząć się od zwykłego konta domenowego.
- Efektem może być uzyskanie poświadczeń Kerberos o bardzo wysokich uprawnieniach.
- Dalszym krokiem może być wykonanie DCSync i przejęcie sekretów domenowych.
Kontekst / historia
Usługi AD CS od lat są uznawane za jeden z najbardziej wrażliwych komponentów środowisk Microsoft. Łączą one mechanizmy PKI z katalogiem Active Directory oraz uwierzytelnianiem Kerberos, przez co każdy błąd logiczny lub konfiguracyjny może mieć daleko idące konsekwencje bezpieczeństwa.
W ostatnich latach administratorzy i zespoły red team regularnie zwracali uwagę, że certyfikaty w środowisku Windows mogą stać się punktem wejścia do eskalacji uprawnień i trwałego utrzymania dostępu. Certighost wpisuje się w ten trend, pokazując, że nawet pomocnicze mechanizmy przetwarzania żądań w AD CS mogą zostać wykorzystane do przejęcia kontroli nad domeną.
Według opisu problem został zgłoszony do Microsoft w maju 2026 roku, a poprawka trafiła do pakietu Patch Tuesday w lipcu 2026 roku. Publikacja technicznych szczegółów oraz kodu PoC obniżyła próg wejścia dla atakujących, co dodatkowo zwiększa presję na szybkie wdrożenie poprawek.
Analiza techniczna
Sedno podatności dotyczy sposobu, w jaki urząd certyfikacji przetwarza dodatkowe dane przekazywane wraz z żądaniem certyfikatu. W analizowanym scenariuszu AD CS korzysta z pomocniczych parametrów, aby ustalić, z jakim obiektem katalogowym powinien zostać powiązany wydawany certyfikat.
Kluczową rolę odgrywają dwa parametry: cdc, który wskazuje serwer używany podczas komunikacji, oraz rmd, który określa konto wyszukiwane w domenie. Historyczny problem polegał na niewystarczającej walidacji tego, czy host wskazany przez parametr cdc rzeczywiście jest prawidłowym kontrolerem domeny.
W rezultacie atakujący mógł skierować urząd certyfikacji do kontrolowanego przez siebie systemu i wystawić tam fałszywe usługi SMB, LSA oraz LDAP. Taki spreparowany punkt końcowy mógł zwracać dane katalogowe sugerujące, że żądanie dotyczy uprzywilejowanego konta maszyny, na przykład kontrolera domeny.
W publicznie opisanym łańcuchu ataku użytkownik z niskimi uprawnieniami najpierw tworzy konto maszyny. W wielu organizacjach jest to możliwe z powodu domyślnej wartości ustawienia ms-DS-MachineAccountQuota, które pozwala zwykłym użytkownikom domenowym dodawać nowe komputery do domeny.
Następnie atakujący składa żądanie certyfikatu, wskazując kontrolowany przez siebie host jako serwer kontaktowy i jednocześnie celując w konto kontrolera domeny. Jeśli urząd certyfikacji zaufa zwróconym informacjom, może wystawić certyfikat umożliwiający uwierzytelnienie z użyciem PKINIT jako kontroler domeny.
Udostępnione narzędzie PoC automatyzuje znaczną część tego procesu. Pozwala uzyskać poświadczenia Kerberos zapisane do cache, a następnie przejść do kolejnego etapu eskalacji, takiego jak DCSync, czyli pobranie sekretów replikowanych między kontrolerami domeny.
Microsoft usunął podatność poprzez dodanie dodatkowych kontroli walidacyjnych. Po wdrożeniu poprawki urząd certyfikacji powinien skuteczniej weryfikować, czy wskazany serwer rzeczywiście odpowiada legalnemu kontrolerowi domeny oraz czy zwrócona tożsamość jest zgodna z oczekiwanym obiektem katalogowym.
Konsekwencje / ryzyko
Ryzyko związane z Certighost jest bardzo wysokie, ponieważ luka umożliwia przejście od niskich uprawnień domenowych do pełnej kompromitacji Active Directory. Atak nie wymaga początkowo uprawnień administracyjnych, co czyni go szczególnie niebezpiecznym w dużych organizacjach z rozbudowaną infrastrukturą domenową.
- Podszycie się pod kontroler domeny.
- Uzyskanie uprzywilejowanych biletów Kerberos.
- Wykonanie DCSync i odczyt hashy oraz sekretów kont.
- Kompromitacja konta krbtgt.
- Możliwość trwałego utrzymania dostępu i dalszej lateralizacji.
Szczególnie groźna jest kompromitacja konta krbtgt, ponieważ otwiera drogę do fałszowania biletów Kerberos i budowy długotrwałego dostępu na poziomie całej domeny. Z perspektywy operacyjnej oznacza to incydent krytyczny, porównywalny z przejęciem kontrolerów domeny.
Rekomendacje
Najważniejszym krokiem jest niezwłoczne wdrożenie lipcowych aktualizacji bezpieczeństwa Microsoft z 2026 roku na wszystkich systemach korzystających z AD CS. Organizacje, które jeszcze nie załatały środowiska, powinny potraktować ten proces jako priorytet.
- Przeprowadzić inwentaryzację wszystkich serwerów AD CS.
- Zweryfikować szablony certyfikatów umożliwiające uwierzytelnianie użytkowników i maszyn.
- Ograniczyć lub wyłączyć możliwość tworzenia nowych kont komputerów przez zwykłych użytkowników poprzez przegląd ustawienia ms-DS-MachineAccountQuota.
- Monitorować żądania certyfikatów dotyczące kont maszyn i kontrolerów domeny.
- Analizować nietypowe użycie PKINIT, nowe cache Kerberos oraz aktywność wskazującą na DCSync.
- Przeglądać logi urzędu certyfikacji i zdarzenia związane z mapowaniem tożsamości.
- Zweryfikować ekspozycję usług LDAP, SMB i RPC w segmentach administracyjnych.
Jeżeli natychmiastowe wdrożenie aktualizacji nie jest możliwe, można rozważyć tymczasowe działania ograniczające ryzyko, w tym wyłączenie opcjonalnych mechanizmów fallback wykorzystywanych przez AD CS. Takie kroki powinny jednak być traktowane wyłącznie jako rozwiązanie przejściowe i poprzedzone testami wpływu na procesy biznesowe.
Z perspektywy detekcji warto także zaktualizować reguły bezpieczeństwa pod kątem tworzenia kont komputerów przez nietypowych użytkowników, żądań certyfikatów dla kont o wysokich uprawnieniach oraz anomalii związanych z użyciem biletów Kerberos przypisanych do kontrolerów domeny.
Podsumowanie
Certighost pokazuje, że AD CS pozostaje jednym z najbardziej ryzykownych elementów infrastruktury Windows. Błąd logiczny w obsłudze żądań certyfikatów może umożliwić przejście od zwykłego konta domenowego do uwierzytelnienia jako kontroler domeny i pełnego przejęcia Active Directory.
Publiczna dostępność PoC zwiększa prawdopodobieństwo prób wykorzystania podatności w realnych środowiskach. Dla administratorów, zespołów SOC i architektów bezpieczeństwa oznacza to konieczność pilnego patchowania, przeglądu konfiguracji AD CS oraz wzmocnienia monitoringu pod kątem nadużyć związanych z certyfikatami i Kerberos.
Źródła
- BleepingComputer – New Certighost PoC exploit lets attackers hijack Windows domains — https://www.bleepingcomputer.com/news/security/new-certighost-poc-exploit-lets-attackers-hijack-windows-domains/
- Microsoft Security Response Center – CVE-2026-54121 — https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-54121
- Microsoft Security Update Guide – July 2026 Security Updates — https://msrc.microsoft.com/update-guide/releaseNote/2026-Jul
- Technical write-up by H0j3n and Aniq Fakhrul — https://gist.github.com/
- GitHub – certighost.py proof of concept — https://github.com/