Certighost donne les clés du domaine à un simple utilisateur Active Directory

14 mai, 14 juillet, 27 juillet 2026. Trois dates qui résument Certighost : signalement à Microsoft par H0j3n et Aniq Fakhrul, correctif intégré au Patch Tuesday de juillet, publication d’un exploit public moins de deux semaines plus tard. CVE-2026-54121 est une faille d’Active Directory Certificate Services (AD CS) notée CVSS 8.8 qui permet à un utilisateur authentifié avec le minimum de privilèges d’obtenir un certificat de contrôleur de domaine — et donc les clés du royaume.

Si vous gérez un domaine Windows et que vous n’avez pas encore appliqué les mises à jour de juillet 2026, arrêtez de lire et patchez. Sinon, voici comment cette faille fonctionne et pourquoi AD CS reste le maillon faible de la majorité des infrastructures Active Directory.

AD CS, la PKI oubliée qui tient le domaine

Active Directory Certificate Services est l’infrastructure de PKI intégrée à Windows Server. Elle émet des certificats utilisés pour l’authentification, le chiffrement et la signature. Dans un domaine Active Directory, un certificat peut remplacer un mot de passe pour s’authentifier via PKINIT (public key cryptography for initial authentication) — le mécanisme qui fait tourner l’authentification par carte à puce et, de plus en plus, les déploiements passwordless.

Le problème est structurel : AD CS est souvent installé, configuré une fois, puis oublié. Les équipes SOC surveillent les DC, les comptes à privilèges, les appartenances aux groupes protégés — mais rares sont celles qui auditent les modèles de certificats. Depuis 2021 et les travaux fondateurs de Will Schroeder et Lee Christensen sur les attaques par certificats, on sait pourtant qu’AD CS est une surface d’attaque de premier plan. Certighost en est la dernière illustration, et pas la moins sévère.

Une mécanique de « chase » détournée

Le cœur de CVE-2026-54121 se situe dans un mécanisme de repli du service d’inscription de certificats, que les chercheurs appellent le chase. Lorsqu’une autorité de certification (CA) ne trouve pas localement le compte pour lequel un certificat est demandé, elle interroge un autre serveur en utilisant deux attributs fournis dans la requête :

• cdc (Client DC) : le serveur que la CA doit contacter ;
• rmd (Remote Domain) : le compte recherché dans ce domaine.

Jusqu’à la mise à jour de juillet 2026, la CA ne vérifiait pas que le serveur désigné par l’attribut cdc était un contrôleur de domaine légitime. Un attaquant pouvait donc pointer la CA vers ses propres services SMB, LSA et LDAP frauduleux, et lui faire croire que le compte ciblé — un contrôleur de domaine, par exemple — existait bel et bien dans l’annuaire.

Scénario d’attaque : du compte machine au krbtgt

L’attaque, entièrement automatisée par le script certighost.py publié le 27 juillet 2026, se déroule en quatre temps :

1. Création d’un compte machine. Par défaut, tout utilisateur authentifié peut créer jusqu’à 10 comptes machine dans un domaine via l’attribut ms-DS-MachineAccountQuota. Ce compte, bien que créé par un simple utilisateur, est un principal de domaine valide.

2. Requête de certificat truquée. L’attaquant soumet une demande de certificat en renseignant les attributs cdc et rmd. Le cdc pointe vers un serveur contrôlé par l’attaquant, le rmd désigne le compte du contrôleur de domaine cible.

3. Usurpation d’identité. La CA contacte le faux serveur, qui répond avec l’identité du DC. Comme la CA ne vérifie pas la légitimité du serveur contacté, elle émet un certificat d’authentification valide pour le compte du contrôleur de domaine.

4. Compromission du domaine. L’attaquant utilise ce certificat pour s’authentifier via PKINIT, récupère un ticket Kerberos pour le DC, puis lance une attaque DCSync avec secretsdump d’Impacket pour extraire les secrets du domaine — dont le hash du compte krbtgt, le saint des saints d’Active Directory.

Le résultat est sans appel : un utilisateur sans privilège obtient les droits d’un administrateur de domaine en quelques commandes, sans élévation préalable, sans exécution de code sur le DC, sans dump de mémoire.

Un CVSS 8.8 qui cache une gravité réelle supérieure

La fiche NVD attribue un score de 8.8 (HIGH) avec le vecteur CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H :

• Exploitation réseau, complexité faible ;
• Privilèges requis : faible (un compte domaine, même sans groupe privilégié) ;
• Aucune interaction utilisateur ;
• Impact confidentialité, intégrité, disponibilité : élevé.

Un score de 8.8 est déjà critique, mais le vrai danger de Certighost réside dans son automatisation. Le PoC rend l’attaque scriptable en quelques secondes. Un attaquant entré dans le domaine par n’importe quel moyen — phishing, compte de service compromis, poste utilisateur rebond — peut pivoter vers le DC sans exploiter de faille supplémentaire. Dans les faits, Certighost transforme n’importe quelle compromission initiale en compromission totale du domaine.

Correctif et contournement

Microsoft a corrigé la faille en ajoutant une validation dans le processus de chase : la CA vérifie désormais que le serveur désigné par cdc correspond à un contrôleur de domaine légitime dans Active Directory, et confirme que l’identité renvoyée correspond au compte attendu.

Pour les administrateurs qui ne peuvent pas appliquer immédiatement les mises à jour de juillet 2026, les chercheurs proposent une mitigation en désactivant le mécanisme de chase :

certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC
Restart-Service CertSvc -Force

Attention 
ce contournement n’a pas été testé de manière exhaustive en production. Il désactive une fonctionnalité optionnelle, mais les chercheurs insistent sur le fait qu’il s’agit d’une mesure temporaire. La seule protection fiable reste l’application du correctif.

Verdict

Certighost n’est pas une vulnérabilité exotique qui exige une topologie réseau particulière ou des services obscurs activés. Elle frappe au cœur du déploiement standard d’AD CS dans une configuration par défaut — c’est-à-dire la majorité des domaines Windows en entreprise.

Si vous gérez un Active Directory avec AD CS, deux actions immédiates 

1. Appliquez les correctifs de juillet 2026 sur tous les serveurs AD CS. Le PoC est public, l’exploitation est scriptée, le délai entre correctif et arme offensive a été de treize jours.
2. Auditez vos modèles de certificats. Certighost est la énième alerte sur la surface d’attaque des certificats. Si vous ne savez pas quels modèles sont activés dans votre PKI interne, partez du principe qu’un attaquant le sait, lui.

Le Patch Tuesday n’est plus une contrainte de confort 
quand le PoC sort avant la fin du mois, c’est une course contre la montre qui commence.

Références

• Microsoft Security Update Guide — CVE-2026-54121
• National Vulnerability Database — CVE-2026-54121
• BleepingComputer — New Certighost PoC exploit lets attackers hijack Windows domains, 27 juillet 2026
• Help Net Security — PoC exploit released for critical AD CS domain-takeover flaw, 27 juillet 2026
• H0j3n and Aniq Fakhrul — Certighost technical writeup