New Certighost PoC exploit lets attackers hijack Windows domains

Vulnérabilité “Certighost” : Compromission de domaines Windows via AD CS

Une preuve de concept (PoC) nommée “Certighost” expose une faille critique dans les services de certificats Active Directory (AD CS) de Windows. Cette vulnérabilité permet à un utilisateur authentifié disposant de privilèges réduits d’usurper l’identité d’un contrôleur de domaine (DC) et de prendre le contrôle total du domaine.

Points clés :

• Mécanisme d’abus : L’attaque exploite une fonctionnalité de secours (“chase”) lors des demandes d’inscription de certificats. Elle utilise les attributs cdc (Client DC) et rmd (Remote Domain) pour rediriger l’autorité de certification (CA) vers un serveur contrôlé par l’attaquant.
• Absence de vérification : Le système ne vérifiait pas si le serveur spécifié dans l’attribut cdc était un contrôleur de domaine légitime, permettant à l’attaquant de fournir de fausses informations d’identité.
• Impact : Une fois le certificat émis pour un contrôleur de domaine usurpé, l’attaquant peut s’authentifier via PKINIT, obtenir des tickets Kerberos et exécuter une attaque de type DCSync pour extraire des secrets sensibles (comme le hash krbtgt).

Vulnérabilité identifiée :

• CVE-2026-54121 : Corrigée par Microsoft lors du “Patch Tuesday” de juillet 2026.

Recommandations :

• Appliquer les correctifs : La solution prioritaire est l’installation des mises à jour de sécurité de juillet 2026, qui introduisent une validation stricte du processus “chase”.
• Atténuation temporaire : Pour les systèmes ne pouvant être mis à jour immédiatement, il est possible de désactiver le mécanisme de repli vulnérable via les commandes PowerShell suivantes :
  • certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC
  • Restart-Service CertSvc -Force
• Attention : Cette atténuation est une mesure temporaire non testée exhaustivement ; le déploiement du correctif officiel reste indispensable.

Source