👻 CVE-2026-54121 — CertiGhost

تصعيد الامتيازات في خدمات شهادات Active Directory (AD CS)

👋 نظرة عامة

CVE-2026-54121 ("Certighost") هي ثغرة تصعيد امتيازات عالية الخطورة تؤثر على خدمات شهادات Active Directory من Microsoft (AD CS).

تتيح هذه الثغرة لمستخدم مجال مُصادَق إساءة استغلال سلوك تسجيل الشهادات والحصول على شهادة قادرة على انتحال هوية وحدة تحكم بالمجال (Domain Controller)، مما قد يؤدي إلى اختراق كامل لـ Active Directory.

⚠️ هذا المستودع مخصّص لأبحاث الأمن المصرّح بها، وهندسة الكشف، والاختبارات الدفاعية فقط.

✨ الميزات

• 📖 شرح تقني للثغرة
• 🔍 إرشادات الكشف
• 🛡️ توصيات التخفيف
• 🧪 مؤشرات الاختراق (IoCs)
• 📚 المراجع
• ⚡ أبحاث دفاعية

📊 معلومات الثغرة

🎯 الأثر المحتمل

قد يسمح الاستغلال الناجح للمهاجم بـ:

• 👤 انتحال هوية وحدة تحكم بالمجال
• 🔑 الحصول على شهادات مصادقة بامتيازات
• ⚡ تنفيذ مصادقة PKINIT
• 📂 تنفيذ هجمات DCSync
• 🔓 استخراج أسرار Active Directory
• 👑 تحقيق اختراق بمستوى Domain Admin

⚙️ تسلسل الهجوم

Authenticated User
        │
        ▼
AD CS Certificate Enrollment
        │
        ▼
Authorization Bypass
        │
        ▼
Issue DC Certificate
        │
        ▼
PKINIT Authentication
        │
        ▼
DCSync
        │
        ▼
Full Active Directory Compromise

🔍 الكشف

راقب ما يلي:

• إصدار شهادات غير متوقّع
• شهادات صادرة لوحدات تحكم المجال
• حالات شاذة في مصادقة PKINIT
• نشاط DCSync
• أحداث Kerberos غير معتادة
• ارتفاعات مفاجئة في تسجيل الشهادات لدى CA

🛡️ التخفيف

• طبّق التحديثات الأمنية من Microsoft فورًا.
• دقّق جميع قوالب AD CS.
• قيّد صلاحيات تسجيل الشهادات.
• راجع إعدادات CA.
• راقب سجلات الأحداث.
• راقب إصدار الشهادات.
• فعّل المراقبة المستمرة لـ Active Directory.

📁 بنية المستودع

CVE-2026-54121/
│
├── README.md
├── LICENSE
├── banner.png
├── docs/
│   ├── advisory.md
│   ├── detection.md
│   └── mitigation.md
├── iocs/
│   └── indicators.md
└── images/

📚 المراجع

• نشرة Microsoft الأمنية
• NIST NVD
• Microsoft MSRC
• وثائق خدمات شهادات Active Directory

⚠️ إخلاء المسؤولية

هذا المستودع مقدَّم لأغراض تعليمية ودفاعية ولأبحاث الأمن المصرّح بها فقط.

القائمون على الصيانة غير مسؤولين عن أي إساءة استخدام أو أنشطة غير مصرّح بها تُنفَّذ باستخدام المعلومات الواردة هنا.