👻 CVE-2026-54121 — CertiGhost

Escalada de privilegios en Active Directory Certificate Services (AD CS)

👋 Descripción general

CVE-2026-54121 ("Certighost") es una vulnerabilidad de escalada de privilegios de alta gravedad que afecta a Microsoft Active Directory Certificate Services (AD CS).

La vulnerabilidad permite que un usuario de dominio autenticado abuse del comportamiento de inscripción de certificados y obtenga un certificado capaz de suplantar a un controlador de dominio, lo que potencialmente conduce al compromiso total de Active Directory.

⚠️ Este repositorio está destinado únicamente a la investigación de seguridad autorizada, la ingeniería de detección y las pruebas defensivas.

✨ Características

• 📖 Explicación técnica de la vulnerabilidad
• 🔍 Guía de detección
• 🛡️ Recomendaciones de mitigación
• 🧪 Indicadores de compromiso (IoCs)
• 📚 Referencias
• ⚡ Investigación defensiva

📊 Información de la vulnerabilidad

🎯 Impacto potencial

La explotación exitosa puede permitir a un atacante:

• 👤 Suplantar un controlador de dominio
• 🔑 Obtener certificados de autenticación privilegiados
• ⚡ Realizar autenticación PKINIT
• 📂 Ejecutar ataques DCSync
• 🔓 Volcar secretos de Active Directory
• 👑 Lograr un compromiso a nivel de administrador de dominio

⚙️ Flujo del ataque

Authenticated User
        │
        ▼
AD CS Certificate Enrollment
        │
        ▼
Authorization Bypass
        │
        ▼
Issue DC Certificate
        │
        ▼
PKINIT Authentication
        │
        ▼
DCSync
        │
        ▼
Full Active Directory Compromise

🔍 Detección

Supervise lo siguiente:

• Emisión inesperada de certificados
• Certificados emitidos para controladores de dominio
• Anomalías en la autenticación PKINIT
• Actividad DCSync
• Eventos Kerberos inusuales
• Picos de inscripción en la CA

🛡️ Mitigación

• Aplique inmediatamente las actualizaciones de seguridad de Microsoft.
• Audite todas las plantillas de AD CS.
• Restrinja los permisos de inscripción.
• Revise la configuración de la CA.
• Supervise los registros de eventos.
• Supervise la emisión de certificados.
• Habilite la supervisión continua de AD.

📁 Estructura del repositorio

CVE-2026-54121/
│
├── README.md
├── LICENSE
├── banner.png
├── docs/
│   ├── advisory.md
│   ├── detection.md
│   └── mitigation.md
├── iocs/
│   └── indicators.md
└── images/

📚 Referencias

• Aviso de seguridad de Microsoft
• NIST NVD
• Microsoft MSRC
• Documentación de Active Directory Certificate Services

⚠️ Aviso legal

Este repositorio se proporciona únicamente con fines educativos, defensivos y de investigación de seguridad autorizada.

Los mantenedores no son responsables del uso indebido o de las actividades no autorizadas realizadas con la información contenida en este documento.