---

📌 Resumo Executivo

Campo	Resultado
CVE	CVE-2026-54121
Nome	Certighost
Fornecedor	Microsoft
Componente	Active Directory Certificate Services, AD CS
Fraqueza	CWE-285 — Autorização Incorreta
Impacto	Elevação de Privilégio; possível impersonação de controlador de domínio
CVSS v3.1	8.8 Alto — AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Severidade máxima do MSRC	Crítica
EPSS	0.010520 / percentil 60.799 em 2026-07-27
CISA KEV	Não encontrado em 2026-07-28
PoC público	Disponível no GitHub
Exploração confirmada em ambiente real	Não encontrada nos relatórios públicos revisados
Risco empresarial primário	Usuário autenticado com privilégios baixos pode obter material de identidade de certificado, permitindo a impersonação de controlador de domínio e risco de DCSync

---

🚨 Por Que Isso Importa

O Certighost é perigoso porque ataca a base de confiança de um domínio Windows: identidade baseada em certificado.

Um ataque bem-sucedido pode permitir que um usuário de domínio com privilégios baixos abuse do comportamento de registro de certificados do AD CS e obtenha potencialmente um certificado mapeado para uma identidade de controlador de domínio. Se isso acontecer, o invasor pode se autenticar como o controlador de domínio e realizar operações privilegiadas no Active Directory.

O risco downstream mais importante é:

Impersonação de controlador de domínio → DCSync → exposição do krbtgt → risco de comprometimento de domínio em nível de Golden Ticket

---

🧠 Causa Raiz Técnica

A falha existe em um fallback de registro de AC Empresarial do AD CS conhecido como chase.

No comportamento vulnerável:

1. Uma solicitação de certificado pode incluir os atributos cdc e rmd.
2. A AC segue o alvo cdc fornecido pelo solicitante durante a resolução de objetos de diretório.
3. A AC pode contatar um host controlado pelo invasor via SMB/LDAP.
4. A AC aceita os dados de identidade retornados sem antes comprovar que o alvo é um controlador de domínio real.
5. O material de identidade do certificado pode ser influenciado por dados de diretório controlados pelo invasor.

A Microsoft corrigiu o problema em julho de 2026 adicionando uma lógica de validação que verifica se o alvo de chase fornecido é um controlador de domínio legítimo antes de continuar.

---

🧭 Diagrama do Caminho de Ataque

flowchart TD
    A[Low-privileged domain account] --> B[Create or reuse machine account]
    B --> C[Submit AD CS enrollment request]
    C --> D[Request includes cdc and rmd attributes]
    D --> E[Vulnerable CA follows requester-controlled chase target]
    E --> F[CA contacts attacker-controlled SMB/LDAP host]
    F --> G[Attacker supplies Domain Controller identity data]
    G --> H[CA issues certificate identity material]
    H --> I[PKINIT authentication as target machine]
    I --> J{Target is Domain Controller?}
    J -->|Yes| K[DCSync / privileged AD operations]
    K --> L[krbtgt exposure / domain compromise risk]
    J -->|No| M[Machine identity impersonation]

---

🧩 Plataformas Afetadas e Builds Corrigidos

Plataforma	Build Corrigido	Patch
Windows Server 2025 / Server Core	10.0.26100.33158	KB5099536
Windows Server 2022	10.0.20348.5386	KB5099540
Windows Server 2019 / Server Core	10.0.17763.9020	KB5099538
Windows Server 2016 / Server Core	10.0.14393.9339	KB5099535
Windows Server 2012 R2 / Server Core	6.3.9600.23291	KB5099444
Windows Server 2012 / Server Core	6.2.9200.26226	KB5099445
Windows 10 Version 1809	10.0.17763.9020	KB5099538
Windows 10 Version 1607	10.0.14393.9339	KB5099535

Prioridade operacional: aplique o patch nos servidores de AD CS / AC Empresarial primeiro.

---

🔥 Resumo de Threat Intelligence

Item	Status	Confiança
PoC público	Encontrado	Alta
Repositórios do GitHub	Encontrados	Média-Alta
Exploit-DB	Não encontrado	Média-Alta
Módulo do Metasploit	Não encontrado	Média
CISA KEV	Não encontrado	Alta
Exploração ativa confirmada	Não encontrada	Média-Alta
Uso por ransomware	Não encontrado	Média-Alta
Atribuição a APT	Não encontrada	Média-Alta
Maturidade do exploit	PoC público disponível	Alta

---

🕒 Linha do Tempo da Investigação

timeline
    title CVE-2026-54121 Certighost Timeline
    2026-05-14 : Vulnerability reported to Microsoft
    2026-05-22 : Case confirmed per researcher timeline
    2026-06-11 : CVE reserved
    2026-07-14 : Microsoft patch and advisory released
    2026-07-24 : Public Certighost analysis and PoC released
    2026-07-27 : EPSS record date: 0.010520
    2026-07-28 : CTI report finalized

---

🛡️ Prioridade Defensiva

Ações Imediatas

• Inventarie todos os servidores de AD CS / AC Empresarial.
• Aplique as atualizações de segurança da Microsoft de julho de 2026.
• Verifique os níveis de build do SO corrigidos.
• Confirme o comportamento da AC corrigida quando viável.
• Ative e valide a auditoria do AD CS.
• Busque solicitações de certificado históricas com atributos cdc e rmd.
• Revise anomalias na emissão de certificados de controlador de domínio.
• Monitore SMB/LDAP de saída da AC para hosts que não são controladores de domínio.
• Investigue a criação suspeita de contas de máquina.
• Revise os indicadores de DCSync e o risco de exposição do krbtgt.

Mitigação Temporária Se o Patch For Atrasado

Desabilite o fallback de chase vulnerável limpando EDITF_ENABLECHASECLIENTDC somente após testes. Isso pode quebrar fluxos de trabalho legítimos de registro. A atualização de julho de 2026 continua sendo a remediação recomendada.

---

🔎 Ideias de Detecção de Alto Valor

Solicitação / Emissão de AD CS

Event ID 4886 or 4887
AND request attributes contain:
  cdc
  rmd

Egresso de Rede da AC

Process: certsrv.exe
Outbound port: 389 or 445
Destination: non-Domain-Controller host

Criação de Conta de Máquina

Event ID 4741
Computer account created by standard user
Followed by suspicious certificate issuance

Acompanhamento de DCSync

Event ID 4662
Replication GUIDs:
  1131f6aa-9c07-11d1-f79f-00c04fc2dcd2
  1131f6ad-9c07-11d1-f79f-00c04fc2dcd2
  89e95b76-444d-4c62-991a-0facbeda640c
Source is not an expected Domain Controller or identity-management system

---

📊 Matriz de Riscos