Certighost: lỗ hổng AD CS cho phép người dùng đặc quyền thấp mạo danh Domain Controller
"Researchers published a working exploit for Certighost, a vulnerability in Microsoft Active Directory Certificate Services (AD CS) that allows a low-privileged domain user to obtain a certificate for a Domain Controller and authenticate as that machine. Microsoft patched the issue as CVE-2026-54121 on July 14, 2026; the flaw was rated CVSS 8.8 and could enable DCSync to retrieve secrets such as krbtgt, with a lab-tested temporary mitigation available by disabling chase fallback."
Tác động chính là leo thang đặc quyền và khả năng trích xuất bí mật miền: mạo danh Domain Controller, sau đó dùng DCSync để lấy krbtgt. Điều kiện khai thác yêu cầu CA và đường enrollment phù hợp, nhưng khi thỏa mãn có thể gây rủi ro nghiêm trọng cho toàn bộ miền.
Nếu bị khai thác, tổ chức có thể đối mặt rủi ro gián đoạn xác thực và tăng chi phí xử lý sự cố do phải rà soát AD CS/CA, thay đổi chứng chỉ và đánh giá ảnh hưởng tới bí mật miền. Biện pháp tạm thời có thể ảnh hưởng luồng enrollment, làm tăng rủi ro vận hành khi chưa sẵn sàng vá.
Các nhà nghiên cứu H0j3n và Aniq Fakhrul công bố exploit hoạt động cho lỗ hổng Certighost trong Microsoft Active Directory Certificate Services (AD CS). Khai thác cho phép người dùng đặc quyền thấp trong Active Directory lấy được chứng chỉ dành cho Domain Controller và xác thực như chính máy đó. Do tài khoản Domain Controller có quyền directory replication, chuỗi tấn công có thể dẫn tới việc truy xuất bí mật như krbtgt thông qua DCSync.
Microsoft đã vá sự cố trên AD CS vào CVE-2026-54121 ngày 14/07/2026, với mức CVSS 8.8 (được phân loại là improper authorization). Việc khai thác cần kết nối mạng và tài khoản miền, không yêu cầu quyền quản trị hay tương tác người dùng. Trong thử nghiệm, tài khoản thuộc nhóm Domain Users có thể tạo hoặc tái sử dụng tài khoản máy theo ms-DS-MachineAccountQuota mặc định.
Về điều kiện kỹ thuật, chuỗi còn phụ thuộc Enterprise CA đi theo đường enrollment dễ tổn thương, dùng template Machine mặc định, và CA truy cập được tới các listener SMB/LDAP của kẻ tấn công. Khi chưa thể vá ngay, nhóm nghiên cứu đề xuất biện pháp tạm thời trong lab: tắt chase fallback bằng cách chỉnh EditFlags và khởi động lại CertSvc; cần thận trọng vì có thể ảnh hưởng luồng enrollment hợp lệ. Khuyến nghị ưu tiên áp dụng bản vá tháng 7/2026 trên các máy chạy AD CS.