A vulnerabilidade CVE-2026-54121, batizada Certighost, é uma falha de autorização imprópria no Active Directory Certificate Services (AD CS) que permite a qualquer usuário autenticado de domínio, sem privilégios administrativos, forjar um certificado de Domain Controller e extrair o segredo do krbtgt. A Microsoft corrigiu a falha em 14 de julho de 2026 com CVSS 8.8, mas um proof-of-concept totalmente funcional divulgado em 24 de julho tornou a exploração automática em ambientes sem correção. O ataque não exige interação do usuário nem privilégios administrativos.
Como o ataque funciona
A exploração abusa de um mecanismo de matrícula do AD CS conhecido como chase, usado quando a Autoridade de Certificação (CA) não consegue resolver diretamente a identidade de uma entidade e precisa consultar outro servidor de diretório antes de emitir o certificado. Dois atributos na requisição controlam essa consulta: cdc indica qual host a CA deve contatar, e rmd especifica qual objeto de diretório deve ser resolvido.
A implementação vulnerável seguia o hostname fornecido em cdc sem verificar se o servidor indicado era de fato um Domain Controller legítimo. A CA abria conexões SMB e LDAP para o endereço indicado e tratava a resposta daquele host como dado de diretório autoritativo durante a construção do certificado. Esse desenho de confiança permitia que um atacante posicionasse serviços rogue diretamente dentro do fluxo de matrícula de certificados.
Do certificado ao krbtgt
Com uma conta de domínio comum, o atacante cria uma conta de computador usando o valor padrão de ms-DS-MachineAccountQuota, que permite a usuários autenticados criar até dez contas de máquina em domínios sem modificação de configuração. Sobre esse host controlado, o atacante sobe implementações rogue de SMB, LDAP e LSA que retransmitem partes da autenticação para o Domain Controller real por meio do protocolo Netlogon.
Em vez de inventar uma identidade falsa, o atacante retorna dados pertencentes ao Domain Controller legítimo, incluindo o objectSid e o dNSHostName. A CA autentica a conta de máquina de baixo privilégio controlada pelo atacante, mas assina um certificado carregando a identidade do Domain Controller real. A distinção é crítica: a criptografia permanece intacta, mas a identidade ligada ao certificado está errada.
O atacante então usa esse certificado para autenticar via PKINIT como o Domain Controller alvo e obtém credenciais Kerberos correspondentes. Com os privilégios de replicação de diretório herdados da conta do DC, o atacante executa DCSync e extrai o hash da conta krbtgt — a fundação criptográfica do Kerberos no domínio. A partir desse ponto, pode forjar Golden Tickets aceitos por todos os Domain Controllers da floresta até que a senha do krbtgt seja redefinida adequadamente.
O que o PoC automatiza
O proof-of-concept publicado em 24 de julho de 2026 pelos pesquisadores H0j3n e Aniq Fakhrul reduz o ataque completo a um único comando de terminal. O script autônomo em Python conecta-se ao LDAP com a conta de baixo privilégio, descobre a CA e o Domain Controller alvo, cria a conta de máquina, inicia os serviços rogue, submete a requisição de certificado manipulada com os atributos cdc e rmd e exporta tanto o certificado em formato PFX quanto um cache de credenciais Kerberos pronto para uso imediato em operações de DCSync.
Sistemas afetados pela falha
A falha afeta implantações de Enterprise Certification Authority em uma faixa ampla de versões do Windows, do Server 2012 ao Server 2025, incluindo edições Server Core, além do Windows 10 nas versões 1607 e 1809. O NVD classifica o problema como CWE-285, autorização imprópria, e o CNA Microsoft atribuiu o vetor CVSS 3.1 com AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.
| Sistema | Build mínima corrigida |
|---|---|
| Windows Server 2025 | 10.0.26100.33158 |
| Windows Server 2022 | 10.0.20348.5386 |
| Windows Server 2019 | 10.0.17763.9020 |
| Windows Server 2016 | 10.0.14393.9339 |
| Windows Server 2012 R2 | 6.3.9600.23291 |
| Windows Server 2012 | 6.2.9200.26226 |
| Windows 10 versão 1809 | 10.0.17763.9020 |
| Windows 10 versão 1607 | 10.0.14393.9339 |
Correção e mitigação temporária
A atualização de julho adiciona uma rotina de validação chamada CRequestInstance::_ValidateChaseTargetIsDC no arquivo certpdef.dll. Antes de seguir um chase, a CA passa a confirmar se o hostname fornecido em cdc corresponde a um objeto de computador genuíno de Domain Controller no Active Directory, com nome DNS correspondente e o flag SERVER_TRUST_ACCOUNT (0x2000) definido em userAccountControl. A rotina também rejeita literais de endereço IP, hostnames excessivamente longos, entradas malformadas e metacaracteres LDAP que poderiam interferir nas consultas de diretório.
Organizações que não puderem instalar a atualização imediatamente podem desativar o comportamento de chase vulnerável limpando o flag EDITF_ENABLECHASECLIENTDC com certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC seguido de Restart-Service CertSvc -Force. A medida é temporária, não substitui o patch: se o flag for reativado em uma CA sem correção, a vulnerabilidade volta a ser explorável. O comando deve ser testado em ambiente de homologação antes da aplicação em produção, pois pode interromper fluxos de matrícula que dependam do chase.
Caçar sinais de abuso
A avaliação SSVC registrada pela CISA em 14 de julho classifica a exploração como none, a automação como no e o impacto técnico como total. A entrada não constava no catálogo Known Exploited Vulnerabilities em 24 de julho, mas a existência de um PoC público comprime a janela antes de atividade maliciosa observada.
Para detectar abuso anterior, revise os logs de matrícula de certificados da CA em busca de emissões vinculadas a identidades de Domain Controller solicitadas por contas de computador recém-criadas, raramente usadas ou anômalas, especialmente no template Machine padrão. Monitore o Event ID 4662 com direitos de replicação de diretório para atividade consistente com DCSync proveniente de contas inesperadas. Alertas sobre conexões SMB na porta 445 e LDAP na 389 originadas do servidor de CA para hosts que não sejam Domain Controllers também indicam uma tentativa de chase em andamento.
A redução de ms-DS-MachineAccountQuota abaixo do valor padrão de dez limita a capacidade de usuários de baixo privilégio criarem contas de computador usáveis nesse ataque. A auditoria das permissões do template Machine confirma quais princípios de segurança podem se matricular e deve restringir o acesso ao mínimo operacional necessário. Para estruturar essa investigação, consulte os primeiros passos na resposta a incidentes e o guia de monitoramento de logs na defesa digital.
Contexto do Patch Tuesday
O Patch Tuesday de 14 de julho de 2026 incluiu a correção da CVE-2026-54121, dez dias antes de os pesquisadores divulgarem o proof-of-concept público. Essa janela comprime o tempo de resposta das equipes que ainda não aplicaram a atualização às suas Enterprise CAs. Para orientação sobre priorização operacional do ciclo completo, consulte a análise do Patch Tuesday de julho de 2026.