Certighost : un compte AD standard suffit pour usurper un contrôleur de domaine

Certighost, c'est le nom d'une faille de sécurité importante découverte dans le service AD CS de Windows Server. En l'exploitant à partir d'un compte utilisateur standard, un attaquant peut aller jusqu'à compromettre le domaine Active Directory après avoir trompé l'autorité de certification. Voici ce que l'on sait sur cette vulnérabilité pour laquelle un code d'exploitation a été mis en ligne.

Certighost : d'un compte standard au secret krbtgt

Les chercheurs H0j3n et Aniq Fakhrul sont à l'origine de la découverte de la CVE-2026-54121, qu'ils ont baptisée Certighost. Cette faille se situe dans Active Directory Certificate Services, alias AD CS, qui est le service permettant de créer une autorité de certification sur Windows Server. Elle est associée à un score CVSS de 8,8 sur 10, d'après le bulletin de sécurité publié par Microsoft. Car oui, Microsoft l'a déjà corrigée le 14 juillet 2026, à l'occasion de son Patch Tuesday record avec 570 vulnérabilités patchées.

Le problème se loge dans un mécanisme de repli de l'inscription de certificats, désigné par le terme chase. Dans certains scénarios d'inscription impliquant plusieurs contrôleurs de domaine, l'autorité de certification effectue une seconde recherche dans l'annuaire. Deux attributs présents dans la demande orientent cette recherche, comme le détaillent les chercheurs dans leur analyse :

• cdc (Client DC) désigne l'hôte que l'autorité de certification doit contacter.
• rmd (Remote Domain) désigne le principal qu'elle doit résoudre.

Le problème, c'est que l'autorité de certification s'adressait à l'hôte fourni par le demandeur, en SMB et en LDAP, sans vérifier au préalable qu'il s'agissait d'un véritable contrôleur de domaine. Vous voyez où je veux en venir : les données d'identité renvoyées par cet hôte étaient acceptées comme des données en provenance d'un annuaire légitime.

À partir de là, la chaîne d'exploitation peut être déroulée. Un attaquant disposant d'un compte sur le domaine crée un compte machine, ce que la valeur par défaut de ms-DS-MachineAccountQuota (fixée à 10) autorise, puis expose ses propres services LDAP. L'autorité de certification vient les interroger et récupère en retour l'objectSid et le dNSHostName du contrôleur de domaine visé, pendant que le compte machine fournit l'identité de domaine valide nécessaire à la poursuite du traitement. Résultat : un certificat signé par l'autorité, portant l'identité du contrôleur de domaine.

La suite, c'est du classique pour ceux qui ont l'habitude de s'attaquer à des environnements Active Directory. Le certificat sert à s'authentifier via PKINIT, et comme un compte de contrôleur de domaine dispose des droits de réplication d'annuaire, l'attaquant peut ensuite lancer une attaque DCSync, et récupérer le krbtgt. Soit, en pratique, la compromission complète du domaine.

Quels environnements sont concernés, et ce que change le correctif

Cette vulnérabilité impacte de nombreux environnements puisqu'on parle de Windows Server 2012 à Windows Server 2025, éditions Server Core comprises. Bien entendu, pour que la vulnérabilité soit exploitable, plusieurs conditions doivent être réunies, à commencer par la présence d'une autorité de certification d'entreprise intégrée à l'Active Directory. Il faut aussi respecter les prérequis suivants :

• Une autorité de certification d'entreprise,
• Une inscription réalisée au travers du modèle de certificat machine par défaut.
• Une valeur par défaut de ms-DS-MachineAccountQuota (normalement, vous l'avez limitée, si vous suivez les bonnes pratiques), ou un compte machine déjà contrôlé par l'attaquant.
• Le serveur vulnérable et la machine de l'attaquant doivent pouvoir se contacter sur le réseau via SMB et LDAP.

Aucun droit d'administrateur n'est requis, et aucune interaction utilisateur non plus. C'est précisément ce qui rend cette faille intéressante pour un attaquant ayant déjà pris pied sur le réseau interne d'une entreprise.

L'analyse binaire menée par les chercheurs montre que la mise à jour ajoute une fonction de validation dans certpdef.dll, le module de stratégie d'entreprise chargé par le service de certificats. Avant de suivre un chase, l'autorité de certification fait ce qu'elle aurait dû faire depuis longtemps : vérifier que la cible annoncée dans cdc correspond bien à un contrôleur de domaine enregistré dans l'annuaire.

Un point mérite l'attention des admins. Toujours d'après les chercheurs, cette nouvelle validation serait encadrée par un interrupteur logiciel interne (un feature gate, que les chercheurs identifient sous le nom Feature_3185813818). En gros, il s'agit d'un flag intégré au binaire, que Microsoft peut activer ou désactiver, et dont dépend la mise en application de la nouvelle protection. Lorsque cet interrupteur n'est pas actif, le code repasserait par l'ancien comportement, conservé pour des raisons de compatibilité. Comme le résument H0j3n et Aniq Fakhrul à propos de la validation en laboratoire : "l'état de la fonctionnalité importe, car le chemin protégé est conditionnel". Le nouveau comportement du système est bien d'activer ce mécanisme pour vous protéger de la faille, mais c'est une subtilité intéressante.

Pas d'exploitation connue à ce stade, mais un code public

À ce jour, cette vulnérabilité ne fait pas état d'une exploitation dans la nature. D'ailleurs, cette vulnérabilité ne figure pas dans le catalogue KEV de la CISA, ce qui est un bon indicateur. Mais bon, soyons prudents : le code d'exploitation est disponible sur GitHub depuis aujourd'hui, vendredi 24 juillet 2026.

Pour vous protéger de la faille Certighost, déployez les mises à jour de juillet 2026 sur vos serveurs AD CS. C'est la meilleure façon de se protéger, indépendamment de la configuration de votre environnement (qui est un sujet à part entière).

Au-delà du correctif, cette vulnérabilité est l'occasion de rappeler qu'il est nécessaire d'auditer régulièrement votre infrastructure PKI avec PSPKIAudit, pour connaître l'état réel de votre CA. Ensuite, vérifiez la valeur de ms-DS-MachineAccountQuota : laisser un utilisateur standard créer jusqu'à 10 comptes machines reste un point d'entrée intéressant pour de nombreuses attaques sur l'Active Directory.

Pour plus d'informations, je vous oriente vers le GitHub mis en ligne par les chercheurs.

Ajouter IT-Connect à mes
sources préférées

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.