Os pesquisadores H0j3n e Aniq Fakhrul publicaram em 24 de julho um exploit funcional que permite a um usuário do Active Directory com privilégios limitados obter um certificado para um Domain Controller e se autenticar como essa máquina.
Eles deram à falha o codinome Certighost.
Como as contas de Domain Controller têm privilégios de replicação no diretório, a credencial Kerberos resultante pode recuperar o segredo krbtgt por meio de DCSync.
A Microsoft corrigiu o problema no Active Directory Certificate Services (AD CS) dez dias antes, com a
CVE-2026-54121
.
A empresa classificou a falha como autorização inadequada e atribuiu a ela um score CVSS de 8,8.
A exploração exige acesso à rede e uma conta de domínio, mas não requer privilégios de administrador nem interação do usuário.
No teste dos pesquisadores, uma conta comum de Domain Users pôde criar uma conta de computador usando o valor padrão de ms-DS-MachineAccountQuota, que é 10, ou reutilizar uma já sob seu controle.
A cadeia também dependia de uma Enterprise CA que seguisse o caminho vulnerável, do enrolamento por meio do template padrão Machine e da conectividade de rede entre a CA e os listeners SMB e LDAP do atacante.
Organizações que operam uma Enterprise CA devem instalar as atualizações de 14 de julho da Microsoft nos hosts de AD CS.
Até 24 de julho, nenhuma fonte primária analisada relatava exploração em ambiente real, mas a prova de conceito completa já estava pública.
A ausência de relatos não prova que a exploração não tenha ocorrido.
Os pesquisadores também documentaram uma forma testada em laboratório para desativar o mecanismo de fallback chase quando a aplicação imediata do patch não for possível, embora isso possa quebrar fluxos legítimos de enrolamento.
A falha está em um fallback de enrolamento do AD CS conhecido como chase.
Quando uma autoridade certificadora, ou CA, não consegue obter as informações de uma entidade final, o protocolo de enrolamento do Windows permite que uma solicitação informe cdc, o servidor do Active Directory a ser contatado, e rmd, o objeto de máquina a ser resolvido.
Os pesquisadores descobriram que a CA seguia o host cdc fornecido pelo solicitante por meio de Server Message Block (SMB) e Lightweight Directory Access Protocol (LDAP) sem antes comprovar que ele era realmente um Domain Controller.
Um atacante poderia executar serviços falsos de Local Security Authority (LSA) e LDAP, retransmitir o desafio de autenticação da CA para o verdadeiro Domain Controller por meio do Netlogon e devolver o objectSid e o dNSHostName do Domain Controller alvo.
Uma conta de máquina controlada fornecia a identidade de domínio válida necessária para a CA prosseguir.
A CA autenticava essa conta e, em seguida, assinava a identidade do Domain Controller alvo no certificado.
O exploit público automatiza a cadeia.
Ele cria uma conta de computador ou reutiliza uma especificada com --computer-name.
A ferramenta inicia listeners nas portas 445 e 389 e retransmite o desafio da CA para o verdadeiro Domain Controller por meio do Netlogon.
Depois, envia os atributos cdc e rmd e grava um arquivo PFX e um cache de credenciais Kerberos.
O exploit usa Public Key Cryptography for Initial Authentication in Kerberos (PKINIT) para se autenticar como o Domain Controller alvo.
A credencial resultante pode solicitar segredos de contas por meio de DCSync, incluindo krbtgt.
A análise binária dos pesquisadores mostrou que a atualização de julho da Microsoft adiciona CRequestInstance::_ValidateChaseTargetIsDC ao certpdef.dll antes de a CA seguir um chase.
A validação rejeita literais de IP, nomes longos demais e metacaracteres de LDAP.
Ela também exige exatamente um objeto de computador do Active Directory correspondente, cujo nome DNS coincida com o alvo e cujo userAccountControl inclua SERVER_TRUST_ACCOUNT (8192).
Uma comparação posterior de SID bloqueia a substituição de objetos.
O exploit público foi testado em uma floresta com Windows Server 2016 ou posterior, com uma Enterprise CA, o template de certificado Machine padrão e a cota padrão de contas de máquina.
O registro da NVD lista separadamente Windows Server 2012 até Windows Server 2025, incluindo as edições Server Core listadas, como afetados.
Ele também lista Windows 10 nas versões 1607 e 1809.
A falha não aparecia no catálogo Known Exploited Vulnerabilities da CISA em 24 de julho.
Os pesquisadores informaram a falha à Microsoft em 14 de maio.
A empresa a confirmou em 22 de maio e a corrigiu em 14 de julho.
Os pesquisadores a divulgaram publicamente em 24 de julho.
Administradores que não puderem aplicar o patch imediatamente podem limpar a sinalização chase e reiniciar o Certificate Services:
certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC
Restart-Service CertSvc -Force
Os pesquisadores testaram essa mitigação apenas em um laboratório controlado.
Eles recomendam testá-la antes em ambiente de homologação e tratar a atualização de julho como a correção permanente.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...