👻 CVE-2026-54121 — CertiGhost

Повышение привилегий в службах Active Directory Certificate Services (AD CS)

👋 Обзор

CVE-2026-54121 ("Certighost") — это уязвимость повышения привилегий высокой степени серьёзности, затрагивающая Microsoft Active Directory Certificate Services (AD CS).

Уязвимость позволяет прошедшему проверку подлинности пользователю домена злоупотребить поведением регистрации сертификатов и получить сертификат, способный подменить контроллер домена, что потенциально может привести к полной компрометации Active Directory.

⚠️ Данный репозиторий предназначен только для авторизованных исследований безопасности, разработки средств обнаружения и защитного тестирования.

✨ Возможности

• 📖 Объяснение технической сути уязвимости
• 🔍 Рекомендации по обнаружению
• 🛡️ Рекомендации по смягчению последствий
• 🧪 Индикаторы компрометации (IoC)
• 📚 Ссылки
• ⚡ Защитные исследования

📊 Информация об уязвимости

🎯 Потенциальное воздействие

Успешная эксплуатация может позволить атакующему:

• 👤 Подменить контроллер домена
• 🔑 Получить привилегированные сертификаты подлинности
• ⚡ Выполнить аутентификацию PKINIT
• 📂 Провести атаки DCSync
• 🔓 Извлечь секреты Active Directory
• 👑 Достичь уровня компрометации администратора домена

⚙️ Схема атаки

Authenticated User
        │
        ▼
AD CS Certificate Enrollment
        │
        ▼
Authorization Bypass
        │
        ▼
Issue DC Certificate
        │
        ▼
PKINIT Authentication
        │
        ▼
DCSync
        │
        ▼
Full Active Directory Compromise

🔍 Обнаружение

Отслеживайте следующее:

• Непредусмотренную выдачу сертификатов
• Сертификаты, выданные контроллерам домена
• Аномалии аутентификации PKINIT
• Активность DCSync
• Необычные события Kerberos
• Всплески регистрации в центре сертификации (CA)

🛡️ Смягчение последствий

• Немедленно установите обновления безопасности Microsoft.
• Проведите аудит всех шаблонов AD CS.
• Ограничьте права на регистрацию.
• Проверьте конфигурацию центра сертификации.
• Отслеживайте журналы событий.
• Отслеживайте выдачу сертификатов.
• Включите непрерывный мониторинг AD.

📁 Структура репозитория

CVE-2026-54121/
│
├── README.md
├── LICENSE
├── banner.png
├── docs/
│   ├── advisory.md
│   ├── detection.md
│   └── mitigation.md
├── iocs/
│   └── indicators.md
└── images/

📚 Ссылки

• Рекомендации по безопасности Microsoft
• NIST NVD
• Microsoft MSRC
• Документация по Active Directory Certificate Services

⚠️ Отказ от ответственности

Данный репозиторий предоставляется исключительно в образовательных, защитных целях и для авторизованных исследований безопасности.

Авторы сопровождения не несут ответственности за неправомерное использование или несанкционированные действия, совершённые с использованием информации, содержащейся здесь.