Certighost, identificata come CVE-2026-54121, permette a un utente con pochi privilegi di ottenere certificati da un Certification Authority Active Directory e scalare i privilegi fino a controllare il dominio. Microsoft ha rilasciato la patch il 14 luglio 2026.
In ogni ambiente Active Directory maturo, il Certification Authority (CA) rappresenta un punto di fiducia centrale, spesso sottovalutato nella sua importanza. Quando il CA firma un certificato, l'intera infrastruttura lo considera autentico, affidandogli la sicurezza di servizi, dispositivi e autenticazioni. Tuttavia, la vulnerabilità Certighost (CVE-2026-54121) ha dimostrato quanto possa essere rischioso trascurare questa fiducia. Il 24 luglio 2026, i ricercatori hanno pubblicato un proof-of-concept che mostra come un semplice utente di dominio possa indurre un Enterprise CA a rilasciare un certificato di autenticazione valido per un Domain Controller, ottenendo così il controllo del dominio. Microsoft ha corretto il problema con un aggiornamento il 14 luglio 2026, assegnando un punteggio CVSS di 8.8.
Come funziona Certighost
Active Directory Certificate Services gestisce i certificati che abilitano logon tramite smart card, autenticazione di utenti e dispositivi e accesso VPN. Normalmente, un utente standard non dovrebbe mai poter ottenere un certificato che rappresenta un Domain Controller. Certighost sfrutta una funzione di enrollment chiamata "chase": se il CA non trova subito l'oggetto richiesto, segue le indicazioni fornite dal parametro cdc per cercarlo altrove. Il difetto sta nel fatto che il CA non verifica se l'endpoint indicato sia davvero un Domain Controller legittimo. Un attaccante può quindi indirizzare il cdc verso una macchina sotto il suo controllo, che risponde con dati di identità falsificati. Il CA si fida, firma il certificato e lo consegna all'attaccante, che può così autenticarsi come Domain Controller tramite PKINIT e ottenere un Ticket Granting Ticket. Da qui, può eseguire un'operazione DCSync e recuperare credenziali sensibili, incluso l'hash dell'account krbtgt, compromettendo l'intero dominio.
Privilegi nascosti e rischi strutturali
Il successo dell'attacco dipende anche dalle impostazioni predefinite di Active Directory, come il MachineAccountQuota che consente agli utenti autenticati di creare nuovi account macchina. Sebbene non siano stati segnalati attacchi attivi al momento della divulgazione, la disponibilità di un proof-of-concept pubblico riduce drasticamente la barriera tecnica per sfruttare la falla. Questo scenario ricorda quanto già visto in altri casi di vulnerabilità critiche, come illustrato nell'analisi su attacchi recenti a SAP Commerce Cloud, dove la rapidità di adozione degli exploit ha messo a rischio molte aziende.
Non solo un bug nei certificati: una questione di fiducia
Certighost non è semplicemente un difetto tecnico nei certificati, ma un fallimento nella gestione dei privilegi e della fiducia. L'attacco dimostra come un'identità poco privilegiata possa manipolare un sistema fidato per ottenere privilegi elevati, senza che l'ambiente abbia strumenti per validare il processo. Il CA non è un semplice componente passivo, ma un'entità privilegiata che genera fiducia per tutto il dominio. La patch di Microsoft introduce un controllo di verifica sull'endpoint di destinazione, bloccando l'abuso della funzione chase.
Come proteggersi: patch, configurazione e monitoraggio
La prima azione è applicare l'aggiornamento Microsoft del 14 luglio 2026 su tutti i Certification Authority. In caso di impossibilità, è disponibile una soluzione temporanea che disabilita la funzione chase, ma va testata per evitare impatti su flussi di enrollment legittimi. È fondamentale anche ridurre i privilegi predefiniti: impostare MachineAccountQuota a zero limita la possibilità per gli utenti comuni di creare account macchina, riducendo la superficie d'attacco. Tuttavia, questa modifica può influire su processi di provisioning e strumenti legacy, quindi è necessario mappare le dipendenze e delegare la creazione delle macchine solo ad account controllati.
Inoltre, è consigliabile limitare le connessioni SMB e LDAP in uscita dai CA solo verso Domain Controller autorizzati, per impedire che endpoint non fidati vengano coinvolti nel processo. Occorre anche rivedere i permessi di enrollment dei template di certificato e monitorare attentamente la creazione di nuovi account macchina, le richieste di certificati anomale e le operazioni DCSync. Un'attività DCSync da un'entità diversa da un Domain Controller deve essere trattata come un allarme critico.
La vera lezione di Certighost
Certighost sarà probabilmente dimenticata dopo la patch, ma il vero problema resta: la fiducia in un'infrastruttura va progettata e verificata costantemente, non data per scontata. La sicurezza non si basa solo su una lista di patch, ma su una gestione attiva dei privilegi e sulla validazione dei processi di fiducia. Ridurre i privilegi dove possibile e verificare ogni punto in cui un sistema decide di fidarsi è la chiave per prevenire compromissioni future. Strumenti come l'Identity Security Risk Assessment di BeyondTrust possono aiutare a individuare esposizioni nascoste prima che diventino nuove vie d'attacco.
