Certighost : usurpation de contrôleur de domaine AD CS

Un PoC public qui abaisse drastiquement la barre d'exploitation

Le 24 juillet 2026, deux chercheurs en sécurité — connus sous les pseudonymes H0j3n et Aniq Fakhrul — ont mis en ligne un proof-of-concept (PoC) opérationnel pour la vulnérabilité CVE-2026-54121, qu'ils ont baptisé Certighost. La publication simultanée du code d'exploitation sur GitHub rend désormais accessible à une grande variété d'attaquants une technique qui, jusqu'à présent, restait l'apanage de groupes APT très expérimentés. La faille avait été corrigée dix jours plus tôt dans le cadre du Patch Tuesday de juillet 2026 de Microsoft, qui incluait un record de 570 correctifs ce mois-ci.

CVE-2026-54121 est une vulnérabilité d'autorisation incorrecte (CWE-285) présente dans le rôle Active Directory Certificate Services (AD CS), la PKI intégrée de Windows Server. Le problème réside dans un mécanisme de chase — c'est-à-dire une résolution de secours lors de l'émission de certificats. Lorsqu'un attribut de requête spécifique comme cdc est fourni, l'autorité de certification (CA) interroge un hôte externe pour récupérer les données d'identité. Certighost exploite précisément ce comportement : en contrôlant cet hôte externe, un attaquant peut usurper l'identité d'un contrôleur de domaine et obtenir un certificat en son nom.

Les prérequis d'exploitation sont délibérément bas. Un accès réseau au service AD CS et un simple compte de domaine — sans aucun privilège administrateur — suffisent. Aucune interaction utilisateur n'est nécessaire. Une fois en possession d'un certificat de contrôleur de domaine frauduleux, l'attaquant peut enchaîner l'attaque via des techniques bien documentées comme Pass-the-Certificate ou PKINIT pour obtenir un ticket Kerberos TGT en tant que contrôleur de domaine, puis procéder à une attaque DCSync permettant de dumper l'intégralité du contenu de l'Active Directory, y compris les hachages NTLM de tous les comptes, dont l'administrateur de domaine et le compte KRBTGT.

La note CVSS de 8.8 reflète cette combinaison redoutable : vecteur d'attaque réseau, faible complexité d'exploitation, pas de privilèges requis, pas d'interaction utilisateur, et un impact élevé sur la confidentialité, l'intégrité et la disponibilité. Si le score n'atteint pas 10.0, c'est uniquement parce que le périmètre d'impact ne change pas — l'attaque reste confinée à l'environnement AD de la victime et n'est pas exploitable à distance sans accès réseau préalable au CA.

D'un point de vue technique, la correction apportée par Microsoft dans le Patch Tuesday de juillet 2026 consiste à ajouter une validation gate : avant de poursuivre la résolution de l'identité via un hôte externe, l'autorité de certification vérifie désormais que le nom d'hôte fourni dans l'attribut cdc correspond bien à un objet computer de contrôleur de domaine légitime dans l'annuaire. Ce contrôle supplémentaire rompt la chaîne d'exploitation de Certighost en empêchant la redirection vers un hôte contrôlé par l'attaquant. La correction a été confirmée en tant qu'improper authorization avec classification CWE-285 par Microsoft dans son advisory de sécurité.

Cette vulnérabilité s'inscrit dans une longue série de failles AD CS mises en lumière depuis les travaux fondateurs de SpecterOps publiés en 2021 sous le nom ESC (Escalation via Certificate Services). Les techniques ESC1 à ESC15 ont progressivement cartographié toutes les mauvaises configurations possibles de l'infrastructure PKI Windows. Certighost représente une nouvelle catégorie : non pas une mauvaise configuration administrative, mais une faille inhérente au comportement de résolution du composant lui-même. Selon les chercheurs, la configuration testée était une installation standard d'AD CS, ce qui élargit considérablement la surface d'attaque potentielle par rapport aux failles ESC classiques.

La publication du PoC intervient dans un contexte particulièrement sensible. Plusieurs groupes APT, notamment ceux liés à la Russie et à la Chine, ont intensifié l'exploitation de failles AD CS depuis 2023. La publication d'un exploit fonctionnel réduit drastiquement le temps nécessaire pour que des acteurs moins sophistiqués — comme des groupes de ransomware affiliés — puissent reproduire l'attaque dans leurs campagnes. D'après l'analyse publiée par The Hacker News, Certighost est reproduisible en moins d'une heure par quiconque maîtrise les bases d'Active Directory, à partir du code GitHub disponible publiquement.

Les organisations non encore à jour avec le Patch Tuesday de juillet 2026 sont exposées en priorité. Même celles qui ont appliqué le correctif doivent procéder à un audit de leurs journaux d'émission de certificats pour détecter toute exploitation antérieure à la mise à jour. Des outils comme Certify ou Certipy permettent d'auditer les configurations AD CS ; l'ANSSI recommande leur utilisation dans le cadre des campagnes de durcissement des Active Directory. Les configurations particulièrement exposées sont celles où l'enrollment web (CES/CEP) est exposé sur le réseau interne sans restriction supplémentaire — ce qui constitue, ironiquement, la configuration par défaut recommandée pour les déploiements PKI distribués.

Pourquoi cette faille AD CS dépasse le cadre d'une vulnérabilité ordinaire

Active Directory reste la colonne vertébrale de la gestion des identités dans l'écrasante majorité des entreprises de plus de 100 employés. Une compromission de l'AD équivaut à une compromission totale de l'organisation : accès à tous les systèmes, toutes les données, possibilité de déployer un ransomware sur l'ensemble du parc ou d'exfiltrer silencieusement pendant des mois. Les failles qui permettent d'atteindre ce niveau de contrôle à partir d'un simple compte utilisateur — sans configuration particulière — sont parmi les plus dangereuses qui existent dans le paysage Windows.

La publication d'un PoC change radicalement l'équation du risque. Avant Certighost, exploiter CVE-2026-54121 nécessitait de comprendre en profondeur le protocole d'émission de certificats Windows, de développer son propre outil et de l'adapter à l'environnement cible. Avec un PoC public, ce savoir-faire est instantanément mutualisé. Les équipes de red team légitimes comme les groupes criminels disposent désormais d'une arme prête à l'emploi. Les indicateurs de compromission associés à Certighost commenceront à apparaître dans les campagnes réelles dans un délai estimé à deux à quatre semaines selon les patterns historiques observés après publication de PoC similaires, notamment après les publications ESC8 et ESC11 en 2022 et 2023.

Contrairement aux vulnérabilités de type misconfiguration, Certighost ne peut pas être mitigé par un audit de configuration seul. Même une installation parfaitement conforme aux recommandations Microsoft est vulnérable sans le patch de juillet 2026. Les scans de type PingCastle ou BloodHound, qui détectent les mauvaises configurations ESC classiques, ne permettront pas d'identifier cette exposition. Seule l'application du correctif et la vérification de la version du composant AD CS constituent une protection effective.

D'un point de vue réglementaire, les organisations soumises à NIS2 ont l'obligation de gérer leurs vulnérabilités critiques dans des délais stricts. Une faille CVSS 8.8 avec PoC public entre clairement dans la catégorie des vulnérabilités à corriger en urgence. Le non-respect de cette obligation peut entraîner des sanctions de l'ANSSI et exposer l'organisation à une mise en demeure en cas d'incident ultérieur lié à cette vulnérabilité. Pour les opérateurs de services essentiels et les fournisseurs de services numériques, le délai de remediation est encore plus contraint.

Ce qu'il faut retenir

• Appliquer immédiatement le Patch Tuesday de juillet 2026 sur tous les serveurs Windows Server hébergeant le rôle AD CS, quelle que soit leur version.
• Auditer les journaux d'émission de certificats à la recherche d'inscriptions anormales impliquant des attributs cdc inhabituels, en remontant au minimum sur les 30 derniers jours.
• Envisager une revue complète de l'architecture AD CS avec un expert en sécurité Active Directory, en particulier pour les environnements exposant des endpoints d'enrollment sur le réseau interne.