📌 핵심 요약

🚨 이것이 중요한 이유

Certighost는 Windows 도메인의 신뢰 기반인 인증서 기반 ID를 표적으로 삼기 때문에 위험합니다.

공격에 성공하면 낮은 권한의 도메인 사용자가 AD CS 인증서 등록 동작을 악용하여 도메인 컨트롤러 ID에 매핑된 인증서를 획득할 수 있습니다. 이러한 상황이 발생하면 공격자는 도메인 컨트롤러로 인증하여 권한 있는 Active Directory 작업을 수행할 수 있습니다.

가장 중요한 후속 위험은 다음과 같습니다:

도메인 컨트롤러 가장 → DCSync → krbtgt 노출 → 골든 티켓 수준의 도메인 손상 위험

🧠 기술적 근본 원인

이 결함은 **체이스(chase)**라고 알려진 AD CS 엔터프라이즈 CA 등록 폴백(fallback) 메커니즘에 존재합니다.

취약한 동작은 다음과 같습니다:

1. 인증서 요청에 cdc 및 rmd 특성이 포함될 수 있습니다.
2. CA는 디렉터리 개체 확인 중 요청자가 제공한 cdc 대상을 추적합니다.
3. CA는 SMB/LDAP를 통해 공격자가 제어하는 호스트에 연결할 수 있습니다.
4. CA는 대상이 실제 도메인 컨트롤러인지 먼저 확인하지 않고 반환된 ID 데이터를 수락합니다.
5. 인증서 ID 자료는 공격자가 제어하는 디렉터리 데이터의 영향을 받을 수 있습니다.

Microsoft는 2026년 7월에 제공된 체이스 대상이 합법적인 도메인 컨트롤러인지 계속 진행 전에 확인하는 검증 로직을 추가하여 이 문제를 패치했습니다.

🧭 공격 경로 다이어그램

flowchart TD
    A[Low-privileged domain account] --> B[Create or reuse machine account]
    B --> C[Submit AD CS enrollment request]
    C --> D[Request includes cdc and rmd attributes]
    D --> E[Vulnerable CA follows requester-controlled chase target]
    E --> F[CA contacts attacker-controlled SMB/LDAP host]
    F --> G[Attacker supplies Domain Controller identity data]
    G --> H[CA issues certificate identity material]
    H --> I[PKINIT authentication as target machine]
    I --> J{Target is Domain Controller?}
    J -->|Yes| K[DCSync / privileged AD operations]
    K --> L[krbtgt exposure / domain compromise risk]
    J -->|No| M[Machine identity impersonation]

🧩 영향받는 플랫폼 및 수정 빌드

운영 우선순위: AD CS / 엔터프라이즈 CA 서버를 먼저 패치하십시오.

🔥 위협 인텔리전스 요약

🕒 조사 타임라인

timeline
    title CVE-2026-54121 Certighost Timeline
    2026-05-14 : Vulnerability reported to Microsoft
    2026-05-22 : Case confirmed per researcher timeline
    2026-06-11 : CVE reserved
    2026-07-14 : Microsoft patch and advisory released
    2026-07-24 : Public Certighost analysis and PoC released
    2026-07-27 : EPSS record date: 0.010520
    2026-07-28 : CTI report finalized

🛡️ 방어 우선순위

즉시 조치

• 모든 AD CS / 엔터프라이즈 CA 서버를 인벤토리로 정리합니다.
• Microsoft 2026년 7월 보안 업데이트를 적용합니다.
• 수정된 OS 빌드 수준을 확인합니다.
• 가능한 경우 패치된 CA 동작을 확인합니다.
• AD CS 감사를 활성화하고 검증합니다.
• 과거 인증서 요청에서 cdc 및 rmd 특성을 탐색합니다.
• 도메인 컨트롤러 인증서 발급 이상 징후를 검토합니다.
• 도메인 컨트롤러가 아닌 호스트로 향하는 CA 아웃바운드 SMB/LDAP를 모니터링합니다.
• 의심스러운 컴퓨터 계정 생성을 조사합니다.
• DCSync 지표 및 krbtgt 노출 위험을 검토합니다.

패치가 지연되는 경우의 임시 완화 조치

테스트 후에만 EDITF_ENABLECHASECLIENTDC를 클리어(clear)하여 취약한 체이스 폴백을 비활성화하십시오. 이로 인해 합법적인 등록 워크플로가 중단될 수 있습니다. 2026년 7월 업데이트가 여전히 권장되는 해결 방안입니다.

🔎 고가치 탐지 아이디어

AD CS 요청 / 발급

Event ID 4886 or 4887
AND request attributes contain:
  cdc
  rmd

CA 네트워크 이그레스

Process: certsrv.exe
Outbound port: 389 or 445
Destination: non-Domain-Controller host

컴퓨터 계정 생성

Event ID 4741
Computer account created by standard user
Followed by suspicious certificate issuance

DCSync 후속 공격

Event ID 4662
Replication GUIDs:
  1131f6aa-9c07-11d1-f79f-00c04fc2dcd2
  1131f6ad-9c07-11d1-f79f-00c04fc2dcd2
  89e95b76-444d-4c62-991a-0facbeda640c
Source is not an expected Domain Controller or identity-management system

📊 위험 매트릭스

✅ 확인된 지표 및 공백

📚 전체 보고서

전체 엔터프라이즈 CTI 보고서는 여기에서 확인할 수 있습니다:

➡️ CVE-2026-54121_CTI_Report.md

다음을 포함합니다:

• 공식 CVE 식별 정보
• CPE 검증
• 영향받는 제품 및 수정 빌드 매핑
• 근본 원인 분석
• 익스플로잇 성숙도 평가
• 위협 인텔리전스 검토
• IOC 표
• MITRE ATT&CK 매핑
• Sigma 아이디어
• Wazuh 지침
• Splunk SPL
• Microsoft Sentinel KQL
• Snort/Suricata 개념
• 완화 및 침해 대응(IR) 지침
• 위험 평가
• 증거 출처 표
• 가정 및 제한 사항

🔗 주요 참고 자료

• Microsoft Security Update Guide: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-54121
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-54121
• CVE Services API: https://cveawg.mitre.org/api/cve/CVE-2026-54121
• CISA KEV Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-54121
• Certighost Technical Write-up: https://gist.github.com/H0j3n/a5ef2609b5f2944ac2390a191a534c26
• Public PoC Repository: https://github.com/aniqfakhrul/CVE-2026-54121
• Dataminr Intel Brief: https://www.dataminr.com/resources/intel-brief/certighost-cve-2026-54121/
• FIRST EPSS API: https://api.first.org/data/v1/epss?cve=CVE-2026-54121
• Tenable CVE Entry: https://www.tenable.com/cve/CVE-2026-54121