👻 CVE-2026-54121 — CertiGhost

Elevazione dei privilegi in Active Directory Certificate Services (AD CS)

👋 Panoramica

CVE-2026-54121 ("Certighost") è una vulnerabilità di elevazione dei privilegi ad alta severità che colpisce Microsoft Active Directory Certificate Services (AD CS).

La vulnerabilità consente a un utente di dominio autenticato di abusare del comportamento di registrazione dei certificati e di ottenere un certificato in grado di impersonare un Domain Controller, portando potenzialmente al compromissione completa di Active Directory.

⚠️ Questo repository è destinato solo a ricerche di sicurezza autorizzate, ingegneria del rilevamento e test difensivi.

✨ Caratteristiche

• 📖 Spiegazione tecnica della vulnerabilità
• 🔍 Guida al rilevamento
• 🛡️ Raccomandazioni di mitigazione
• 🧪 Indicatori di compromissione (IoC)
• 📚 Riferimenti
• ⚡ Ricerca difensiva

📊 Informazioni sulla vulnerabilità

🎯 Impatto potenziale

Lo sfruttamento riuscito può consentire a un attaccante di:

• 👤 Impersonare un Domain Controller
• 🔑 Ottenere certificati di autenticazione privilegiati
• ⚡ Eseguire l'autenticazione PKINIT
• 📂 Eseguire attacchi DCSync
• 🔓 Eseguire il dump dei segreti di Active Directory
• 👑 Raggiungere una compromissione a livello di Domain Admin

⚙️ Flusso dell'attacco

Authenticated User
        │
        ▼
AD CS Certificate Enrollment
        │
        ▼
Authorization Bypass
        │
        ▼
Issue DC Certificate
        │
        ▼
PKINIT Authentication
        │
        ▼
DCSync
        │
        ▼
Full Active Directory Compromise

🔍 Rilevamento

Monitorare:

• Emissione inattesa di certificati
• Certificati emessi per i Domain Controller
• Anomalie nell'autenticazione PKINIT
• Attività DCSync
• Eventi Kerberos insoliti
• Picchi di registrazione presso la CA

🛡️ Mitigazione

• Applicare immediatamente gli aggiornamenti di sicurezza di Microsoft.
• Controllare (audit) tutti i template AD CS.
• Limitare i permessi di registrazione (enrollment).
• Rivedere la configurazione della CA.
• Monitorare i registri eventi (Event Logs).
• Monitorare l'emissione dei certificati.
• Abilitare il monitoraggio continuo di Active Directory.

📁 Struttura del repository

CVE-2026-54121/
│
├── README.md
├── LICENSE
├── banner.png
├── docs/
│   ├── advisory.md
│   ├── detection.md
│   └── mitigation.md
├── iocs/
│   └── indicators.md
└── images/

📚 Riferimenti

• Advisory di sicurezza Microsoft
• NIST NVD
• Microsoft MSRC
• Documentazione di Active Directory Certificate Services

⚠️ Dichiarazione di esclusione di responsabilità

Questo repository è fornito solo a scopo educativo, difensivo e di ricerca di sicurezza autorizzata.

I maintainer non sono responsabili per usi impropri o attività non autorizzate eseguite utilizzando le informazioni qui contenute.