📌 الملخص التنفيذي

🚨 لماذا هذا مهم؟

يُعد Certighost خطيرًا لأنه يستهدف أساس الثقة في نطاق Windows: الهوية القائمة على الشهادات.

يمكن للهجوم الناجح أن يسمح لمستخدم نطاق بصلاحيات منخفضة بإساءة استخدام سلوك تسجيل شهادات AD CS وربما الحصول على شهادة مرتبطة بهوية وحدة تحكم المجال. وإذا حدث ذلك، قد يتمكن المهاجم من المصادقة بصفته وحدة تحكم المجال وتنفيذ عمليات مميزة في Active Directory.

أهم المخاطر اللاحقة هي:

انتحال هوية وحدة تحكم المجال ← DCSync ← كشف krbtgt ← خطر اختراق النطاق بمستوى Golden Ticket

🧠 السبب الجذري التقني

يكمن الخلل في آلية تراجع تسجيل AD CS لمرجع مصادقة المؤسسة تُعرف باسم chase.

في السلوك القابل للاستغلال:

1. يمكن أن يتضمن طلب الشهادة السمتين cdc وrmd.
2. يتبع مرجع المصادقة الهدف cdc المقدَّم من الطالب أثناء تحليل كائنات الدليل.
3. قد يتصل مرجع المصادقة بمضيف يتحكم فيه المهاجم عبر SMB/LDAP.
4. يقبل مرجع المصادقة بيانات الهوية المُعادة دون إثبات أن الهدف وحدة تحكم مجال حقيقية أولًا.
5. يمكن التأثير على مواد هوية الشهادة ببيانات دليل يتحكم فيها المهاجم.

عالجت Microsoft المشكلة في يوليو 2026 بإضافة منطق تحقق يتحقق مما إذا كان هدف التتبع المقدَّم وحدة تحكم مجال شرعية قبل المتابعة.

🧭 مخطط مسار الهجوم

flowchart TD
    A[Low-privileged domain account] --> B[Create or reuse machine account]
    B --> C[Submit AD CS enrollment request]
    C --> D[Request includes cdc and rmd attributes]
    D --> E[Vulnerable CA follows requester-controlled chase target]
    E --> F[CA contacts attacker-controlled SMB/LDAP host]
    F --> G[Attacker supplies Domain Controller identity data]
    G --> H[CA issues certificate identity material]
    H --> I[PKINIT authentication as target machine]
    I --> J{Target is Domain Controller?}
    J -->|Yes| K[DCSync / privileged AD operations]
    K --> L[krbtgt exposure / domain compromise risk]
    J -->|No| M[Machine identity impersonation]

🧩 المنصات المتأثرة والإصدارات المُصلحة

الأولوية التشغيلية: حدّث خوادم AD CS / مرجع مصادقة المؤسسة أولًا.

🔥 ملخص الاستخبارات التقنية للتهديدات

🕒 الجدول الزمني للتحقيق

timeline
    title CVE-2026-54121 Certighost Timeline
    2026-05-14 : Vulnerability reported to Microsoft
    2026-05-22 : Case confirmed per researcher timeline
    2026-06-11 : CVE reserved
    2026-07-14 : Microsoft patch and advisory released
    2026-07-24 : Public Certighost analysis and PoC released
    2026-07-27 : EPSS record date: 0.010520
    2026-07-28 : CTI report finalized

🛡️ الأولويات الدفاعية

إجراءات فورية

• حصر جميع خوادم AD CS / مرجع مصادقة المؤسسة.
• تطبيق تحديثات أمان Microsoft لشهر يوليو 2026.
• التحقق من مستويات الإصدارات المُصلحة لأنظمة التشغيل.
• تأكيد سلوك مرجع المصادقة المُصحح حيثما أمكن.
• تفعيل تدقيق AD CS والتحقق منه.
• البحث في طلبات الشهادات التاريخية عن السمتين cdc وrmd.
• مراجعة الحالات الشاذة في إصدار شهادات وحدة تحكم المجال.
• مراقبة اتصالات SMB/LDAP الصادرة من مرجع المصادقة إلى مضيفات ليست وحدات تحكم مجال.
• التحقيق في إنشاء حسابات أجهزة مشبوهة.
• مراجعة مؤشرات DCSync وخطر كشف krbtgt.

تخفيف مؤقت إذا تأخر التصحيح

عطّل آلية التتبع الاحتياطية القابلة للاستغلال بمسح EDITF_ENABLECHASECLIENTDC فقط بعد الاختبار. قد يؤدي ذلك إلى تعطيل سير عمل التسجيل المشروع. يبقى تحديث يوليو 2026 هو المعالجة الموصى بها.

🔎 أفكار كشف عالية القيمة

طلب/إصدار AD CS

Event ID 4886 or 4887
AND request attributes contain:
  cdc
  rmd

اتصالات الشبكة الصادرة من مرجع المصادقة

Process: certsrv.exe
Outbound port: 389 or 445
Destination: non-Domain-Controller host

إنشاء حسابات الأجهزة

Event ID 4741
Computer account created by standard user
Followed by suspicious certificate issuance

النشاط اللاحق لـ DCSync

Event ID 4662
Replication GUIDs:
  1131f6aa-9c07-11d1-f79f-00c04fc2dcd2
  1131f6ad-9c07-11d1-f79f-00c04fc2dcd2
  89e95b76-444d-4c62-991a-0facbeda640c
Source is not an expected Domain Controller or identity-management system

📊 مصفوفة المخاطر

✅ المؤشرات والثغرات المؤكدة

📚 التقرير الكامل

يتوفر تقرير CTI الكامل للمؤسسات هنا:

➡️ CVE-2026-54121_CTI_Report.md

يتضمن:

• تعريف CVE الرسمي
• التحقق من CPE
• تعيين المنتجات المتأثرة والإصدارات المُصلحة
• تحليل السبب الجذري
• تقييم نضج الاستغلال
• مراجعة الاستخبارات التقنية للتهديدات
• جدول مؤشرات الاختراق (IOC)
• تعيين MITRE ATT&CK
• أفكار قواعد Sigma
• إرشادات Wazuh
• أوامر Splunk SPL
• استعلامات Microsoft Sentinel KQL
• مفاهيم Snort/Suricata
• إرشادات التخفيف والاستجابة للحوادث
• تقييم المخاطر
• جدول مصادر الأدلة
• الافتراضات والقيود

🔗 المراجع الأساسية

• دليل تحديثات أمان Microsoft: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-54121
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-54121
• واجهة برمجة تطبيقات خدمات CVE: https://cveawg.mitre.org/api/cve/CVE-2026-54121
• كتالوج CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-54121
• التوثيق الفني لـ Certighost: https://gist.github.com/H0j3n/a5ef2609b5f2944ac2390a191a534c26
• مستودع PoC العام: https://github.com/aniqfakhrul/CVE-2026-54121
• موجز Dataminr الاستخباري: https://www.dataminr.com/resources/intel-brief/certighost-cve-2026-54121/
• واجهة برمجة تطبيقات FIRST EPSS: https://api.first.org/data/v1/epss?cve=CVE-2026-54121
• إدخال CVE في Tenable: https://www.tenable.com/cve/CVE-2026-54121