📌 Synthèse Exécutive

🚨 Pourquoi c'est important

Certighost est dangereux car il cible la base de confiance d'un domaine Windows : l'identité basée sur les certificats.

Une attaque réussie peut permettre à un utilisateur de domaine à faibles privilèges d'abuser du comportement d'inscription de certificats AD CS et d'obtenir potentiellement un certificat mappé à une identité de contrôleur de domaine. Si cela se produit, l'attaquant peut s'authentifier en tant que contrôleur de domaine et effectuer des opérations Active Directory privilégiées.

Le risque en aval le plus important est :

Usurpation du contrôleur de domaine → DCSync → exposition de krbtgt → risque de compromission du domaine de niveau Golden Ticket

🧠 Cause Racine Technique

La faille réside dans un mécanisme de repli d'inscription d'AC d'entreprise AD CS appelé chase.

Dans le comportement vulnérable :

1. Une demande de certificat peut inclure les attributs cdc et rmd.
2. L'AC suit la cible cdc fournie par le demandeur lors de la résolution des objets d'annuaire.
3. L'AC peut contacter un hôte contrôlé par l'attaquant via SMB/LDAP.
4. L'AC accepte les données d'identité renvoyées sans d'abord prouver que la cible est un véritable contrôleur de domaine.
5. Les données d'identité de certificat peuvent être influencées par des données d'annuaire contrôlées par l'attaquant.

Microsoft a corrigé le problème en juillet 2026 en ajoutant une logique de validation qui vérifie si la cible de poursuite fournie est un contrôleur de domaine légitime avant de continuer.

🧭 Schéma du Chemin d'Attaque

flowchart TD
    A[Low-privileged domain account] --> B[Create or reuse machine account]
    B --> C[Submit AD CS enrollment request]
    C --> D[Request includes cdc and rmd attributes]
    D --> E[Vulnerable CA follows requester-controlled chase target]
    E --> F[CA contacts attacker-controlled SMB/LDAP host]
    F --> G[Attacker supplies Domain Controller identity data]
    G --> H[CA issues certificate identity material]
    H --> I[PKINIT authentication as target machine]
    I --> J{Target is Domain Controller?}
    J -->|Yes| K[DCSync / privileged AD operations]
    K --> L[krbtgt exposure / domain compromise risk]
    J -->|No| M[Machine identity impersonation]

🧩 Plateformes Concernées et Versions Corrigées

Priorité opérationnelle : Corriger d'abord les serveurs AD CS / AC d'entreprise.

🔥 Résumé du Renseignement sur les Menaces

🕒 Chronologie de l'Enquête

timeline
    title CVE-2026-54121 Certighost Timeline
    2026-05-14 : Vulnerability reported to Microsoft
    2026-05-22 : Case confirmed per researcher timeline
    2026-06-11 : CVE reserved
    2026-07-14 : Microsoft patch and advisory released
    2026-07-24 : Public Certighost analysis and PoC released
    2026-07-27 : EPSS record date: 0.010520
    2026-07-28 : CTI report finalized

🛡️ Priorités Défensives

Actions Immédiates

• Inventorier tous les serveurs AD CS / AC d'entreprise.
• Appliquer les mises à jour de sécurité Microsoft de juillet 2026.
• Vérifier les niveaux de builds OS corrigés.
• Confirmer le comportement de l'AC corrigée lorsque c'est faisable.
• Activer et valider l'audit AD CS.
• Rechercher dans les demandes de certificats historiques les attributs cdc et rmd.
• Examiner les anomalies de délivrance de certificats des contrôleurs de domaine.
• Surveiller le trafic SMB/LDAP sortant de l'AC vers des hôtes non contrôleurs de domaine.
• Enquêter sur la création suspecte de comptes machine.
• Examiner les indicateurs DCSync et le risque d'exposition de krbtgt.

Atténuation Temporaire en Cas de Report du Correctif

Désactiver le repli chase vulnérable en effaçant EDITF_ENABLECHASECLIENTDC uniquement après des tests. Cela peut interrompre les flux de travail d'inscription légitimes. La mise à jour de juillet 2026 reste la remédiation recommandée.

🔎 Idées de Détection à Forte Valeur

Demande / Délivrance AD CS

Event ID 4886 or 4887
AND request attributes contain:
  cdc
  rmd

Sortie Réseau de l'AC

Process: certsrv.exe
Outbound port: 389 or 445
Destination: non-Domain-Controller host

Création de Compte Machine

Event ID 4741
Computer account created by standard user
Followed by suspicious certificate issuance

Répercussion DCSync

Event ID 4662
Replication GUIDs:
  1131f6aa-9c07-11d1-f79f-00c04fc2dcd2
  1131f6ad-9c07-11d1-f79f-00c04fc2dcd2
  89e95b76-444d-4c62-991a-0facbeda640c
Source is not an expected Domain Controller or identity-management system

📊 Matrice des Risques

✅ Indicateurs Vérifiés et Lacunes

📚 Rapport Complet

Le rapport CTI complet pour les entreprises est disponible ici :

➡️ CVE-2026-54121_CTI_Report.md

Il comprend :

• Identification officielle du CVE
• Validation CPE
• Cartographie des produits concernés et des versions corrigées
• Analyse de la cause racine
• Évaluation de la maturité de l'exploit
• Revue du renseignement sur les menaces
• Tableau des IOC
• Cartographie MITRE ATT&CK
• Idées Sigma
• Recommandations Wazuh
• Splunk SPL
• Microsoft Sentinel KQL
• Concepts Snort/Suricata
• Recommandations d'atténuation et de réponse aux incidents
• Évaluation des risques
• Tableau de provenance des preuves
• Hypothèses et limites

🔗 Références Principales

• Guide des mises à jour de sécurité Microsoft : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-54121
• NVD : https://nvd.nist.gov/vuln/detail/CVE-2026-54121
• API CVE Services : https://cveawg.mitre.org/api/cve/CVE-2026-54121
• Catalogue KEV de la CISA : https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-54121
• Analyse technique Certighost : https://gist.github.com/H0j3n/a5ef2609b5f2944ac2390a191a534c26
• Dépôt du PoC public : https://github.com/aniqfakhrul/CVE-2026-54121
• Briefing Intel Dataminr : https://www.dataminr.com/resources/intel-brief/certighost-cve-2026-54121/
• API FIRST EPSS : https://api.first.org/data/v1/epss?cve=CVE-2026-54121
• Entrée CVE Tenable : https://www.tenable.com/cve/CVE-2026-54121