Certighost : l’attaque qui usurpe l’identité des contrôleurs de domaine via AD CS

Introduction

Le 24 juillet 2026, les chercheurs H0j3n et Aniq Fakhrul ont publié un exploit fonctionnel, surnommé Certighost, ciblant les services de certificats Active Directory (AD CS) de Microsoft. Le code exploite la vulnérabilité CVE-2026-54121, une faille d’autorisation incorrecte avec un score CVSS de 8,8 (Élevée), permettant à un simple utilisateur du domaine d’obtenir un certificat valide pour un contrôleur de domaine. Dès lors, la compromission de l’ensemble de la forêt Active Directory n’est qu’une question de temps.

La faille avait été signalée par Microsoft le 14 mai, confirmée le 22 mai et corrigée par les mises à jour du 14 juillet 2026. La diffusion de la preuve de concept, seulement dix jours après la publication du correctif, augmente désormais de façon exponentielle le risque pour toutes les organisations n’ayant pas encore appliqué les correctifs.

Analyse technique

La vulnérabilité réside dans le mécanisme de repli chase utilisé par une autorité de certification (CA) d’entreprise lorsqu’elle ne parvient pas à résoudre seule l’identité d’un objet. En temps normal, la CA interroge le contrôleur de domaine pour obtenir des informations sur le demandeur et décider d’émettre ou non le certificat. Un attaquant peut toutefois configurer un faux contrôleur de domaine, en amenant la CA à contacter ses propres services malveillants exposés sur les ports SMB (445) et LDAP (389).

Pour mener l’attaque à bien, les éléments suivants suffisent :

• un compte de domaine sans privilège,
• la possibilité de créer un compte d’ordinateur (le quota par défaut ms-DS-MachineAccountQuota est de 10) ou de réutiliser un compte déjà sous contrôle,
• la présence d’une CA d’entreprise utilisant le modèle par défaut Machine.

L’exploit automatise toute la chaîne : il crée ou réutilise un compte d’ordinateur, lance les écouteurs SMB et LDAP pour usurper un contrôleur de domaine, intercepte la demande d’authentification provenant de la CA et la transfère au véritable contrôleur de domaine via le protocole Netlogon. Ainsi, le défi d’authentification est correctement relevé, mais l’attaquant insère dans la demande de certificat des attributs manipulés (cdc et rmd). À l’issue du processus, la CA émet un certificat PFX correspondant à l’identité d’un contrôleur de domaine légitime.

Avec le certificat en main, l’attaquant procède à une authentification Kerberos via PKINIT et obtient un cache de justificatifs pour le contrôleur de domaine cible. Il peut alors exploiter les droits de réplication pour lancer une attaque DCSync et extraire le secret krbtgt, le matériel cryptographique protégeant l’ensemble du domaine.

Le correctif publié par Microsoft le 14 juillet (applicable à Windows Server 2012–2025 et aux éditions Server Core, ainsi qu’à Windows 10 versions 1607 et 1809) intervient justement sur la fonction CRequestInstance::_ValidateChaseTargetIsDC dans la bibliothèque certpdef.dll. Il bloque les adresses IP littérales, les noms trop longs et les métacaractères LDAP, et vérifie que l’objet ordinateur contacté par la CA est effectivement un contrôleur de domaine, en contrôlant le drapeau SERVER_TRUST_ACCOUNT (8192) et la correspondance du SID.

Impact

La compromission garantit à un utilisateur sans privilège le contrôle total du domaine. Une fois le hash krbtgt obtenu par DCSync, l’attaquant peut forger des Golden Ticket – des tickets Kerberos offrant un accès illimité et persistant à toute ressource du domaine, y compris la possibilité de mouvement latéral vers d’autres domaines de confiance.

Au moment de la publication du PoC (24 juillet 2026), Microsoft n’avait pas observé d’exploitation active dans le monde réel, mais avait déjà détecté des activités de test liées à la faille. La disponibilité publique de l’exploit Certighost fait désormais grimper en flèche la probabilité d’attaques réelles, surtout dans les environnements où les correctifs n’ont pas encore été déployés.

Mitigation

La solution définitive consiste à appliquer immédiatement les mises à jour de sécurité diffusées par Microsoft le 14 juillet 2026 sur tous les serveurs hébergeant le rôle d’autorité de certification. Pour les organisations qui ne peuvent pas appliquer la mise à jour tout de suite, Microsoft fournit une solution de contournement temporaire qui désactive le mécanisme chase :

certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC
Restart-Service CertSvc -Force

Attention : cette configuration peut interrompre des flux d’inscription légitimes ; il est recommandé de la tester en laboratoire avant la mise en production et d’appliquer le correctif dès que possible.

Parallèlement, il est essentiel d’activer la surveillance :

• Activer l’audit des certificats (opérations réussies et échouées) sur les serveurs AD CS.
• Surveiller les événements 4886 et 4887 du journal de sécurité, qui consignent les demandes de certificat suspectes et les émissions pour des identités de contrôleur de domaine non attendues.
• Microsoft Defender génère des alertes dédiées telles que Potential Certighost (CVE-2026-54121) AD CS abuse et Active Directory Certificate Services attack tool activity. Des signaux génériques (reconnaissance LDAP, tickets Kerberos anormaux, tentatives de DCSync) peuvent également accompagner une attaque, mais ne sont pas spécifiques.
• Réduire le quota par défaut de comptes d’ordinateur (ms-DS-MachineAccountQuota) peut limiter la capacité de l’attaquant à créer de nouveaux objets, mais n’empêche pas la réutilisation de comptes déjà compromis.

FAQ

1. Qu’est-ce que CVE-2026-54121 et pourquoi est-elle si dangereuse ?
CVE-2026-54121 est une vulnérabilité d’autorisation incorrecte présente dans les services de certificats Active Directory (AD CS) de Microsoft. Elle permet à un utilisateur de domaine disposant de privilèges minimaux d’obtenir un certificat pour un contrôleur de domaine puis, de là, d’élever ses privilèges jusqu’au contrôle total du domaine en exploitant des attaques comme DCSync et Golden Ticket.

2. Comment puis-je vérifier si mon infrastructure est vulnérable ?
Si votre organisation utilise une autorité de certification d’entreprise avec le modèle Machine par défaut et le mécanisme chase actif, et que vous n’avez pas encore appliqué les mises à jour du 14 juillet 2026, le système est à risque. Vous pouvez vérifier la présence du rôle AD CS et la version du système d’exploitation : toutes les éditions de Windows Server 2012 à 2025 sont concernées. L’existence d’un PoC public rend la vérification d’autant plus urgente.

3. Que puis-je faire si je ne peux pas installer le correctif immédiatement ?
Vous pouvez appliquer la solution de contournement qui désactive le chase via la commande certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC (à tester car elle peut bloquer des émissions légitimes). Parallèlement, renforcez la surveillance des événements de certificat et alertez l’équipe de sécurité pour toute demande suspecte concernant un contrôleur de domaine. Le correctif reste néanmoins la seule protection complète et doit être planifié avec la plus haute priorité.