Il 24 luglio 2026 i ricercatori H0j3n e Aniq Fakhrul hanno rilasciato il proof-of-concept "Certighost" per CVE-2026-54121, una vulnerabilità in Active Directory Certificate Services con CVSS 8.8. Il codice dimostra come un utente di dominio con privilegi minimi — nessun accesso amministrativo, nessuna interazione umana richiesta — possa ottenere un certificato valido come Domain Controller e da lì compromettere l'intera foresta AD in pochi minuti. La pubblicazione arriva a dieci giorni esatti dal rilascio della patch Microsoft del 14 luglio, un intervallo che espone tutte le organizzazioni con AD CS Enterprise CA ancora non aggiornate.
- CVE-2026-54121 è una improper authorization in AD CS con CVSS 8.8 secondo Microsoft Corporation come CNA; la patch è disponibile dal 14 luglio 2026.
- Il PoC "Certighost" pubblicato il 24 luglio 2026 richiede solo un account dominio standard, accesso di rete e il valore predefinito ms-DS-MachineAccountQuota di 10 per creare un machine account controllato.
- L'exploit abusa il meccanismo "chase" di AD CS tramite attributi cdc e rmd nella richiesta di certificato, redirezionando la CA verso un server attacker-controllato.
- Una volta ottenuto il certificato come DC, l'attacker esegue DCSync per estrarre il segreto krbtgt e forgiare Golden Ticket con persistenza illimitata sul dominio.
Come il chase di AD CS diventa un tunnel per impersonare il Domain Controller
Il meccanismo "chase" in AD CS è un fallback durante l'enrollment che permette alla Certificate Authority di contattare un altro host per risolvere l'identità del richiedente quando non la riconosce localmente. Secondo i ricercatori H0j3n e Aniq Fakhrul, la vulnerabilità consente a un attacker di fornire attributi cdc (l'host da contattare) e rmd (il principal da risolvere) che redirezionano la CA verso un server sotto il suo controllo.
La CA vulnerabile ha seguito l'host indicato nel campo cdc su SMB e LDAP "senza prima verificarlo come legittimo Domain Controller", come documentano i ricercatori. Su porte 445 e 389, l'attacker intercetta la connessione e relay l'autenticazione Netlogon al Domain Controller reale, ottenendo l'objectSid e il dNSHostName del DC target. Questi dati vengono restituiti alla CA, che li inserisce in un certificato firmato e valido.
L'autenticazione PKINIT con questo certificato fornisce credenziali Kerberos del Domain Controller, abilitando DCSync e l'estrazione del segreto krbtgt per la forgiatura di Golden Ticket. L'intera catena, dal primo pacchetto al controllo del dominio, non richiede privilegi elevati: un utente standard con ms-DS-MachineAccountQuota pari a 10 — il valore predefinito — può creare il machine account necessario per autenticarsi alla CA.
"The vulnerable CA followed the requester-supplied cdc host over SMB and LDAP without first verifying it was a legitimate Domain Controller" — H0j3n e Aniq Fakhrul
La patch del 14 luglio e cosa Microsoft ha dovuto validare
L'aggiornamento di luglio aggiunge la funzione CRequestInstance::_ValidateChaseTargetIsDC in certpdef.dll, che intercetta il percorso chase prima che la CA segua il target. La validazione include tre controlli concatenati: risoluzione DNS, verifica che userAccountControl includa il flag SERVER_TRUST_ACCOUNT (valore 8192), e confronto del SID per bloccare eventuali sostituzioni di oggetto.
Secondo l'advisory Microsoft del 14 luglio 2026, l'assessment di exploitability era "Less Likely" — una valutazione che i ricercatori e le fonti di sicurezza hanno contestato implicitamente con la pubblicazione del PoC funzionale dieci giorni dopo. Il record NVD al 14 luglio 2026 indicava exploitation: none nello scoring SSVC, confermando che le valutazioni predittive di exploitability possono diventare obsolete con velocità che supera i cicli di adozione delle patch.
La timeline completa parte dal 14 maggio 2026 (segnalazione iniziale), passa per la conferma Microsoft del 22 maggio, la patch del 14 luglio e la disclosure exploit del 24 luglio: circa due mesi tra conferma e rilascio fix, dieci giorni tra fix e exploit pubblico.
Cosa fare adesso
- Applicare la patch KB del 14 luglio 2026 su tutti i server con ruolo AD CS Enterprise CA, con priorità massima per le CA emittenti con EditFlags che includono
EDITF_ENABLECHASECLIENTDC. - Disabilitare il chase fallback via registry con
certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDCseguito da restart del servizio CertSvc; la mitigazione è stata testata in ambiente lab dai ricercatori, non è documentata in produzione. - Monitorare il valore ms-DS-MachineAccountQuota a livello di dominio: se superiore a zero, qualsiasi utente autenticato può creare machine account fino al limite, abilitando il prerequisito dell'exploit.
- Ispezionare i log di autenticazione Netlogon e le richieste di certificato con attributi cdc/rmd non standard per rilevare tentativi di relay o targeting anomalo di CA verso host non DC.
Perché "Less Likely" non bastava più
Il caso Certighost misura con precisione il divario tra valutazione del vendor e realtà del threat landscape. Quando Microsoft ha classificato "Less Likely" l'exploitability il 14 luglio, il codice PoC non esisteva ancora pubblicamente; dieci giorni dopo, la barriera tecnica per compromettere un dominio AD è passata da "ricerca avanzata" a "copia-incolla". Nessuna fonte conferma exploitazione in-the-wild al 24 luglio 2026, ma come notano gli stessi ricercatori: "l'assenza di reporting non prova che l'exploitazione non sia avvenuta".
La posta in gioco va oltre il singolo CVE. Per qualsiasi organizzazione con AD CS, questa vulnerabilità rappresenta un rischio esistenziale: un singolo utente compromesso via phishing o accesso iniziale diventa in minuti vector per compromissione totale del dominio, con persistenza via Golden Ticket che sopravvive alla rotazione password degli account amministrativi standard. La velocità di disclosure post-patch impone ai team di sicurezza un ritmo di risposta che i processi tradizionali di change management non sono strutturati per sostenere.
Domande frequenti
La patch del 14 luglio è sufficiente o servono ulteriori azioni?
La patch risolve la vulnerabilità eliminando il percorso chase non validato. L'applicazione è condizione necessaria e, secondo le fonti disponibili, sufficiente a bloccare il vettore documentato. Non emergono varianti o bypass noti al momento della pubblicazione.
Perché l'exploit non richiede privilegi amministrativi?
Perché sfrutta due meccanismi di delega difettosi: il chase fallback di AD CS, che accetta indicazioni dal richiedente, e il valore predefinito ms-DS-MachineAccountQuota pari a 10, che permette a qualsiasi utente di dominio di creare machine account. La combinazione elimina la necessità di escalation preliminare.
Windows 11 è interessato?
No. Secondo il record CVE ufficiale, i sistemi affetti sono Windows Server 2012-2025 (incluso Server Core) e Windows 10 nelle versioni 1607 e 1809. Windows 11 non compare nel CPE elencato da NVD.
Fonti
- https://www.helpnetsecurity.com/2026/07/27/certighost-cve-2026-54121-poc-exploit-released/
- https://thehackernews.com/2026/07/certighost-exploit-lets-low-privileged.html
- https://thehackernews.com/2026/07/public-exploit-released-for-patched.html
- https://www.dataminr.com/resources/intel-brief/certighost-cve-2026-54121/
- https://cyber.netsecops.io/articles/certighost-exploit-released-for-critical-active-directory-flaw-cve-2026-54121/
- https://nvd.nist.gov/vuln/detail/CVE-2026-54121
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-54121
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.