A vulnerabilidade Certighost (CVE-2026-54121) permite que qualquer usuário autenticado em um domínio Windows consiga um certificado de Domain Controller e, a partir dele, execute um ataque DCSync para roubar a conta krbtgt e assumir o controle total do Active Directory. A falha foi corrigida pela Microsoft no Patch Tuesday de 14 de julho de 2026, mas uma prova de conceito funcional publicada dez dias depois reduziu drasticamente a barreira técnica para exploração.
Com pontuação CVSS 8.8 e classificada como elevação de privilégios por autorização imprópria, a falha afeta o Active Directory Certificate Services (AD CS), o componente de infraestrutura de chaves públicas que emite certificados digitais para autenticação, assinatura e criptografia em toda a floresta do domínio. A exploração não exige privilégios administrativos nem interação do usuário, apenas uma conta de domínio válida e conectividade de rede.
Como o Certighost funciona
O ataque explora um mecanismo de inscrição de certificados do AD CS conhecido como chase. Durante determinados cenários de inscrição, a Autoridade de Certificação (CA) precisa buscar informações adicionais no diretório antes de emitir um certificado. Essa busca é controlada por dois atributos de requisição: cdc, que especifica qual Domain Controller a CA deve contactar, e rmd, que indica qual objeto de diretório deve ser resolvido.
A implementação vulnerável confiava no nome de host fornecido pelo atributo cdc sem verificar se o servidor indicado era realmente um Domain Controller legítimo. Em vez de validar primeiro o destino, a CA tentava se comunicar com o host fornecido via SMB e LDAP. Um atacante podia preparar uma máquina sob seu controle com serviços SMB, LDAP e LSA falsos, apontar a CA para ela através do atributo cdc, e devolver informações manipuladas pertencentes ao Domain Controller real — incluindo seu objectSid e dNSHostName.
Ao combinar autenticação legítima com informações de diretório manipuladas, a CA concluía erroneamente que estava se comunicando com o Domain Controller cujos dados de identidade estavam sendo retornados. A CA assinava então um certificado contendo a identidade do Domain Controller, embora a requisição tivesse se originado em infraestrutura totalmente controlada pelo atacante.
Do certificado ao DCSync
Com o certificado fraudulento em mãos, o atacante realiza autenticação Kerberos PKINIT usando a credencial recém-obtida, passando a operar como um Domain Controller. Esse status concede um dos privilégios mais sensíveis do Active Directory: o direito de replicação de diretório. Com ele, o atacante executa um ataque DCSync, que solicita dados de senha diretamente pelo protocolo de replicação, sem precisar acessar o banco NTDS em disco.
Entre os segredos obtíveis via DCSync está o hash da conta krbtgt, a fundação criptográfica do Kerberos dentro de um domínio Windows. Essa conta assina os Ticket Granting Tickets (TGTs) e é um dos segredos de maior valor do ambiente. Quem compromete o krbtgt pode forjar tickets Kerberos confiáveis por todos os Domain Controllers da floresta até que a senha seja redefinida adequadamente — razão pela qual o comprometimento do krbtgt é considerado equivalente à queda total do domínio.
Por que é viável
Um dos fatores que torna o exploit viável em ambientes padrão é o atributo ms-DS-MachineAccountQuota. Por padrão, a maioria dos domínios permite que usuários autenticados criem até dez contas de computador, comportamento que existe para simplificar o provisionamento de estações sem intervenção administrativa. O exploit aproveita essa configuração padrão criando uma conta de máquina que o atacante controla legitimamente, fornecendo a identidade válida necessária durante a inscrição.
A prova de conceito publicada em 24 de julho de 2026 automatiza grande parte da cadeia de ataque: cria automaticamente uma nova conta de computador quando a quota padrão permite, inicia ouvintes SMB e LDAP, retransmite as requisições de autenticação da CA via Netlogon para o Domain Controller legítimo, submete a requisição manipulada e exporta o certificado emitido em formato PFX junto com uma cache de credenciais Kerberos pronta para uso imediato.
Correção e mitigação temporária
A Microsoft corrigiu a vulnerabilidade em suas atualizações de segurança de julho de 2026 ao introduzir uma nova rotina de validação chamada CRequestInstance::_ValidateChaseTargetIsDC, presente em certpdef.dll. Antes de seguir uma requisição cdc, o código atualizado rejeita literais de endereço IP, nomes de host excessivamente longos, entradas malformadas e metacaracteres LDAP. A CA consulta o Active Directory para confirmar que o alvo corresponde a exatamente um objeto de computador cujo nome DNS corresponde ao host fornecido e cujo atributo userAccountControl contém a flag SERVER_TRUST_ACCOUNT (valor 8192), que identifica um Domain Controller. Um passo adicional de comparação de SID previne ataques de substituição de objeto.
Organizações que não puderem aplicar imediatamente as atualizações de julho podem desabilitar o comportamento vulnerável limpando a flag de política EDITF_ENABLECHASECLIENTDC com os comandos:
certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDCRestart-Service CertSvc -Force
Essa é uma mitigação temporária, e não uma correção definitiva. Se a flag for reativada posteriormente — por política, imagem de sistema ou ação administrativa — a CA volta a ser explorável. Fluxos de trabalho legítimos que dependam do chase podem quebrar, portanto o teste em ambiente de homologação é recomendado antes da aplicação em produção.
Prioridades de resposta imediata
| Prioridade | Ação | Prazo sugerido |
|---|---|---|
| Crítica | Aplicar patch de julho de 2026 em todas as Enterprise CAs | Imediato |
| Crítica | Auditar flag EDITF_ENABLECHASECLIENTDC em todas as CAs | Imediato |
| Alta | Restringir ms-DS-MachineAccountQuota onde possível | Esta semana |
| Alta | Monitorar inscrições anômalas de certificados de DC | Contínuo |
| Média | Revisar certificados emitidos nos últimos 90 dias | Até 30 dias |
O Patch Tuesday de julho de 2026 foi o maior da história da Microsoft em volume de correções. Outras falhas do mesmo ciclo foram detalhadas em análises do LegacyHive, zero-day sem correção e do RoguePlanet no Microsoft Defender. O Certighost se distingue por não depender de corrupção de memória nem de execução remota de código: ele abusa exclusivamente das decisões de confiança na emissão de certificados, demonstrando que falhas de validação de identidade isoladas podem produzir comprometimento total de domínio.