Certighost: l’attacco che ruba l’identità dei Domain Controller tramite AD CS

Introduzione

Il 24 luglio 2026 i ricercatori H0j3n e Aniq Fakhrul hanno pubblicato un exploit funzionante, soprannominato Certighost, che colpisce i Servizi certificati di Active Directory (AD CS) di Microsoft. Il codice sfrutta la vulnerabilità CVE-2026-54121, un difetto di autorizzazione impropria con un punteggio CVSS di 8.8 (High), capace di consentire a un semplice utente di dominio di ottenere un certificato valido per un Domain Controller. Da quel momento, il compromesso dell’intera foresta Active Directory è solo questione di tempo.

La falla era stata segnalata da Microsoft il 14 maggio, confermata il 22 maggio e corretta con gli aggiornamenti del 14 luglio 2026. La diffusione del proof‑of‑concept, appena dieci giorni dopo il rilascio della patch, aumenta ora in modo esponenziale il rischio per tutte le organizzazioni che non hanno ancora applicato le correzioni.

Analisi tecnica

La vulnerabilità risiede nel meccanismo di fallback chase utilizzato da una Certification Authority (CA) enterprise quando non riesce a risolvere in autonomia l’identità di un oggetto. In condizioni normali, la CA interroga il Domain Controller per ottenere informazioni sul richiedente e decidere se emettere il certificato. Un attaccante può però predisporre un finto Domain Controller, facendo sì che la CA contatti i propri servizi malevoli esposti sulle porte SMB (445) e LDAP (389).

Per portare a termine l’attacco sono sufficienti:

• un account di dominio senza privilegi,
• la possibilità di creare un account computer (la quota predefinita ms-DS-MachineAccountQuota è pari a 10) o di riusarne uno già sotto il proprio controllo,
• la presenza di una CA enterprise che utilizzi il template predefinito Machine.

L’exploit automatizza l’intera catena: crea o riutilizza un account computer, avvia i listener SMB e LDAP per impersonare un Domain Controller, intercetta la richiesta di autenticazione proveniente dalla CA e la inoltra al vero Domain Controller attraverso il protocollo Netlogon. In questo modo, la sfida di autenticazione viene correttamente soddisfatta, ma l’attaccante inserisce nella richiesta di certificato attributi manipolati (cdc e rmd). Al termine del processo, la CA emette un certificato PFX che corrisponde all’identità di un Domain Controller legittimo.

Con il certificato in mano, l’aggressore esegue l’autenticazione Kerberos via PKINIT e ottiene una cache di credenziali per il Domain Controller bersaglio. A questo punto, può sfruttare i diritti di replica per lanciare un attacco DCSync ed estrarre il segreto krbtgt, il materiale crittografico che protegge l’intero dominio.

La patch rilasciata da Microsoft il 14 luglio (applicabile a Windows Server 2012–2025 e alle edizioni Server Core, nonché a Windows 10 versioni 1607 e 1809) interviene proprio sulla funzione CRequestInstance::_ValidateChaseTargetIsDC nella libreria certpdef.dll. Essa blocca indirizzi IP letterali, nomi overlong e metacaratteri LDAP, e verifica che l’oggetto computer contattato dalla CA sia effettivamente un Domain Controller, controllando il flag SERVER_TRUST_ACCOUNT (8192) e la corrispondenza del SID.

Impatto

La compromissione garantisce a un utente privo di privilegi il controllo totale del dominio. Una volta ottenuto l’hash krbtgt tramite DCSync, l’attaccante può forgiare Golden Ticket – biglietti Kerberos che concedono accesso illimitato e persistente a qualsiasi risorsa del dominio, inclusa la possibilità di movimento laterale verso altri domini fidati.

Al momento della pubblicazione del PoC (24 luglio 2026), Microsoft non aveva osservato sfruttamenti attivi in circolazione, ma aveva già rilevato attività di testing correlate alla falla. La disponibilità pubblica dell’exploit Certighost fa salire drasticamente la probabilità di attacchi reali, soprattutto negli ambienti in cui le patch non sono state ancora distribuite.

Mitigazione

La soluzione definitiva consiste nell’applicare immediatamente gli aggiornamenti di sicurezza rilasciati da Microsoft il 14 luglio 2026 su tutti i server che ospitano il ruolo Certification Authority. Per le realtà che non possono eseguire subito l’aggiornamento, Microsoft fornisce un workaround temporaneo che disabilita il meccanismo chase:

certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC
Restart-Service CertSvc -Force

Attenzione: questa configurazione può interrompere flussi di enroll legittimi; si raccomanda di testarla in laboratorio prima della messa in produzione e di procedere comunque alla patch non appena possibile.

Parallelamente, è fondamentale attivare il monitoraggio:

• Abilitare l’auditing dei Certificati (operazioni riuscite e fallite) sui server AD CS.
• Sorvegliare gli eventi 4886 e 4887 del registro di sicurezza, che registrano richieste di certificato sospette ed emissioni per identità di Domain Controller non previste.
• Microsoft Defender genera allarmi dedicati come Potential Certighost (CVE-2026-54121) AD CS abuse e Active Directory Certificate Services attack tool activity. Anche segnali generici (ricognizione LDAP, ticket Kerberos anomali, tentativi di DCSync) possono accompagnare un attacco, ma non sono specifici.
• Ridurre la quota predefinita di account computer (ms-DS-MachineAccountQuota) può limitare la capacità dell’attaccante di creare nuovi oggetti, ma non blocca il riutilizzo di account già compromessi.

FAQ

1. Che cos’è CVE-2026-54121 e perché è così pericolosa?
CVE-2026-54121 è una vulnerabilità di autorizzazione impropria presente nei Servizi certificati Active Directory (AD CS) di Microsoft. Consente a un utente di dominio con privilegi minimi di ottenere un certificato per un Domain Controller e, da lì, scalare fino al controllo totale del dominio sfruttando attacchi come DCSync e Golden Ticket.

2. Come posso verificare se la mia infrastruttura è vulnerabile?
Se la tua organizzazione utilizza una Certification Authority enterprise con il template Machine predefinito e il meccanismo chase attivo, e non hai ancora applicato gli aggiornamenti del 14 luglio 2026, il sistema è a rischio. Puoi controllare la presenza del ruolo AD CS e la versione del sistema operativo: tutte le edizioni da Windows Server 2012 a 2025 sono interessate. La presenza del PoC pubblico rende ancora più urgente la verifica.

3. Cosa posso fare se non riesco a installare subito la patch?
Puoi applicare il workaround che disabilita il chase tramite il comando certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC (da testare perché potrebbe bloccare emissioni legittime). Al contempo, rafforza il monitoraggio degli eventi di certificato e allerta il team di sicurezza su qualsiasi richiesta sospetta per Domain Controller. La patch rimane comunque l’unica protezione completa e va programmata con la massima priorità.