📌 Sintesi esecutiva

🚨 Perché è importante

Certighost è pericoloso perché prende di mira il fondamento della fiducia di un dominio Windows: l'identità basata su certificati.

Un attacco riuscito può consentire a un utente di dominio con privilegi bassi di abusare del comportamento di iscrizione certificati di AD CS e potenzialmente ottenere un certificato mappato a un'identità di Domain Controller. Se ciò accade, l'attaccante può autenticarsi come Domain Controller ed eseguire operazioni privilegiate su Active Directory.

Il rischio a valle più importante è:

Impersonificazione del Domain Controller → DCSync → esposizione di krbtgt → rischio di compromissione del dominio a livello di Golden Ticket

🧠 Causa tecnica di base

La vulnerabilità risiede in un fallback di iscrizione dell'AD CS Enterprise CA noto come chase.

Nel comportamento vulnerabile:

1. Una richiesta di certificato può includere gli attributi cdc e rmd.
2. La CA segue il target cdc fornito dal richiedente durante la risoluzione dell'oggetto di directory.
3. La CA può contattare un host controllato dall'attaccante tramite SMB/LDAP.
4. La CA accetta i dati di identità restituiti senza prima verificare che il target sia un vero Domain Controller.
5. Il materiale di identità del certificato può essere influenzato da dati di directory controllati dall'attaccante.

Microsoft ha corretto il problema a luglio 2026 aggiungendo una logica di validazione che verifica se il target del chase fornito sia un Domain Controller legittimo prima di proseguire.

🧭 Diagramma del percorso d'attacco

flowchart TD
    A[Low-privileged domain account] --> B[Create or reuse machine account]
    B --> C[Submit AD CS enrollment request]
    C --> D[Request includes cdc and rmd attributes]
    D --> E[Vulnerable CA follows requester-controlled chase target]
    E --> F[CA contacts attacker-controlled SMB/LDAP host]
    F --> G[Attacker supplies Domain Controller identity data]
    G --> H[CA issues certificate identity material]
    H --> I[PKINIT authentication as target machine]
    I --> J{Target is Domain Controller?}
    J -->|Yes| K[DCSync / privileged AD operations]
    K --> L[krbtgt exposure / domain compromise risk]
    J -->|No| M[Machine identity impersonation]

🧩 Piattaforme interessate e build corrette

Priorità operativa: applicare la patch ai server AD CS / Enterprise CA per primi.

🔥 Riepilogo Threat Intelligence

🕒 Cronologia dell'indagine

timeline
    title CVE-2026-54121 Certighost Timeline
    2026-05-14 : Vulnerability reported to Microsoft
    2026-05-22 : Case confirmed per researcher timeline
    2026-06-11 : CVE reserved
    2026-07-14 : Microsoft patch and advisory released
    2026-07-24 : Public Certighost analysis and PoC released
    2026-07-27 : EPSS record date: 0.010520
    2026-07-28 : CTI report finalized

🛡️ Priorità difensive

Azioni immediate

• Inventariare tutti i server AD CS / Enterprise CA.
• Applicare gli aggiornamenti di sicurezza Microsoft di luglio 2026.
• Verificare i livelli di build di sistema corretti.
• Confermare il comportamento della CA patchata dove fattibile.
• Abilitare e validare l'auditing di AD CS.
• Cercare richieste di certificato storiche con gli attributi cdc e rmd.
• Esaminare le anomalie di rilascio di certificati per Domain Controller.
• Monitorare le connessioni SMB/LDAP in uscita della CA verso host non Domain Controller.
• Indagare sulla creazione sospetta di account macchina.
• Rivedere gli indicatori DCSync e il rischio di esposizione di krbtgt.

Mitigazione temporanea in caso di ritardo nella patch

Disabilitare il fallback vulnerable del chase azzerando EDITF_ENABLECHASECLIENTDC solo dopo aver effettuato test. Ciò può interrompere i flussi di iscrizione legittimi. L'aggiornamento di luglio 2026 rimane la remediation raccomandata.

🔎 Idee di rilevamento ad alto valore

Richiesta / Rilascio AD CS

Event ID 4886 or 4887
AND request attributes contain:
  cdc
  rmd

Egress di rete della CA

Process: certsrv.exe
Outbound port: 389 or 445
Destination: non-Domain-Controller host

Creazione di account macchina

Event ID 4741
Computer account created by standard user
Followed by suspicious certificate issuance

Attività successiva DCSync

Event ID 4662
Replication GUIDs:
  1131f6aa-9c07-11d1-f79f-00c04fc2dcd2
  1131f6ad-9c07-11d1-f79f-00c04fc2dcd2
  89e95b76-444d-4c62-991a-0facbeda640c
Source is not an expected Domain Controller or identity-management system

📊 Matrice dei rischi

✅ Indicatori verificati e lacune

📚 Report completo

Il report CTI aziendale completo è disponibile qui:

➡️ CVE-2026-54121_CTI_Report.md

Include:

• Identificazione ufficiale della CVE
• Validazione CPE
• Mappatura dei prodotti interessati e delle build corrette
• Analisi della causa di base
• Valutazione della maturità dell'exploit
• Revisione della threat intelligence
• Tabella IOC
• Mappatura MITRE ATT&CK
• Idee Sigma
• Linee guida Wazuh
• Splunk SPL
• Microsoft Sentinel KQL
• Concetti Snort/Suricata
• Linee guida per mitigazione e incident response
• Valutazione del rischio
• Tabella della provenienza delle evidenze
• Assunzioni e limitazioni

🔗 Riferimenti principali

• Microsoft Security Update Guide: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-54121
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-54121
• CVE Services API: https://cveawg.mitre.org/api/cve/CVE-2026-54121
• Catalogo CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-54121
• Analisi tecnica di Certighost: https://gist.github.com/H0j3n/a5ef2609b5f2944ac2390a191a534c26
• Repository del PoC pubblico: https://github.com/aniqfakhrul/CVE-2026-54121
• Brief Intel Dataminr: https://www.dataminr.com/resources/intel-brief/certighost-cve-2026-54121/
• API FIRST EPSS: https://api.first.org/data/v1/epss?cve=CVE-2026-54121
• Voce CVE su Tenable: https://www.tenable.com/cve/CVE-2026-54121