Uma vulnerabilidade recém-divulgada nos Serviços de Certificado de Serviços de Ativo (AD CS) do Microsoft, apelidada de Certighost e rastreada como CVE-2026-54121, permite que um usuário de domínio de baixa privilégio se passe por um Controlador de Domínio e assuma todo o domínio AD. A falha explora um processo de pesquisa "chase" na inscrição de certificados onde a CA confia em um host fornecido pelo atacante (parâmetro cdc) sem verificar se é um Controlador de Domínio genuíno.
Mecanismo da falha de certificação
A vulnerabilidade permite que uma conta de máquina maliciosa passe por verificações de autenticação como um principal de domínio válido. Combinado com a configuração padrão do ms-DS-MachineAccountQuota, que permite que qualquer usuário registre contas de máquina, um atacante pode obter um certificado emitido carregando a identidade de um DC simulado.
Com o certificado, o atacante pode realizar um ataque DCSync para extrair o hash krbtgt e assumir o controle total do domínio. A Microsoft corrigiu a issue em suas atualizações de julho de 2026 com uma nova função de validação.
Rotação de domínio e DCSync
O ataque DCSync é uma técnica poderosa que permite que um atacante extraia hashes de contas de domínio, incluindo o hash krbtgt, que é essencial para o controle total do domínio. A exploração da vulnerabilidade Certighost simplifica significativamente o processo de obtenção de credenciais privilegiadas.
Organizações que não podem aplicar o patch imediatamente podem desabilitar o fallback de pesquisa vulnerável via EDITF_ENABLECHASECLIENTDC como uma mitigação temporária. É crucial monitorar atividades DCSync e revisar configurações de AD para garantir que não haja contas de máquina não autorizadas.
Mitigação temporária e permanente
A Microsoft recomenda a aplicação do patch de julho de 2026 como a mitigação permanente. Para organizações que não podem aplicar o patch imediatamente, a desabilitação do fallback de pesquisa vulnerável via EDITF_ENABLECHASECLIENTDC é uma mitigação temporária eficaz.
Além disso, é essencial revisar as configurações de ms-DS-MachineAccountQuota e garantir que apenas contas autorizadas possam registrar contas de máquina. O monitoramento contínuo de atividades de AD e a implementação de práticas de segurança de rede são cruciais para prevenir explorações.
Impacto em ambientes corporativos
A vulnerabilidade Certighost representa um risco significativo para ambientes corporativos que utilizam Active Directory. A capacidade de assumir o controle total do domínio permite que atacantes movam-se lateralmente, exfiltrem dados e implantem ransomware sem detecção.
Organizações devem priorizar a aplicação do patch e revisar suas configurações de AD para garantir que não haja vulnerabilidades semelhantes. A implementação de práticas de segurança de rede e monitoramento contínuo é essencial para mitigar riscos.
Recomendações de hardening
Os CISOs devem garantir que o patch de julho de 2026 seja aplicado o mais rápido possível. Além disso, é crucial revisar as configurações de AD, incluindo ms-DS-MachineAccountQuota, e garantir que apenas contas autorizadas possam registrar contas de máquina.
A implementação de monitoramento contínuo de atividades de AD e a revisão de logs de segurança são essenciais para detectar tentativas de exploração. A conscientização da equipe de segurança sobre as últimas ameaças e vulnerabilidades também é fundamental para uma postura de segurança eficaz.
Comparação com ataques anteriores
A vulnerabilidade Certighost é semelhante a outras falhas de autenticação em AD que permitiram a exploração de credenciais privilegiadas. No entanto, a exploração de certificados de domínio adiciona uma camada de complexidade que pode ser difícil de detectar sem monitoramento adequado.
Organizações devem aprender com ataques anteriores e implementar práticas de segurança de rede e monitoramento contínuo para prevenir explorações. A revisão regular de configurações de AD e a aplicação de patches são essenciais para manter a segurança.
Perguntas frequentes
Qual é o risco desta vulnerabilidade?
A vulnerabilidade permite assumir o controle total do Active Directory, representando um risco crítico para a segurança da rede.
Como posso proteger minha infraestrutura?
Aplique o patch de julho de 2026, revise configurações de AD e monitore atividades DCSync.
Esta vulnerabilidade afeta todos os produtos Microsoft?
A vulnerabilidade afeta os Serviços de Certificado de Serviços de Ativo (AD CS). Verifique a documentação da Microsoft para detalhes específicos.