La faille de sécurité Certighost, identifiée sous la référence CVE-2026-54121, représente une menace majeure pour les infrastructures Active Directory. Cette vulnérabilité permet à un attaquant, muni d’un simple compte utilisateur standard, de compromettre intégralement un domaine en exploitant une faille dans le service AD CS de Windows Server. Découverte par des chercheurs en cybersécurité, cette faille a déjà fait l’objet d’un correctif de la part de Microsoft, mais son potentiel d’exploitation reste préoccupant.
Avec un score CVSS de 8,8 sur 10, Certighost illustre les risques liés aux mécanismes de certification dans les environnements Active Directory. Son exploitation repose sur une faille dans le processus d’inscription des certificats, permettant à un pirate de contourner les vérifications d’authenticité et d’usurper l’identité d’un contrôleur de domaine. Les conséquences peuvent être désastreuses, allant jusqu’à la prise de contrôle totale du domaine.
Comprendre la vulnérabilité Certighost et son impact
Origine et découverte de la faille
La vulnérabilité Certighost a été mise au jour par les experts en cybersécurité H0j3n et Aniq Fakhrul. Elle affecte le service Active Directory Certificate Services (AD CS), un composant clé des serveurs Windows permettant de gérer les autorités de certification. Le problème réside dans un mécanisme de repli baptisé *chase*, utilisé lors de l’inscription des certificats. Dans certains cas, l’autorité de certification effectue une seconde recherche dans l’annuaire Active Directory sans vérifier l’authenticité du serveur contacté.
Deux attributs jouent un rôle central dans cette faille :
– cdc (Client DC) : indique l’hôte à contacter pour la validation.
– rmd (Remote Domain) : spécifie le principal à résoudre.
Le défaut de vérification permet à un attaquant de fournir un faux serveur, qui renverra des données d’identité falsifiées. L’autorité de certification, trompée, accepte ces informations comme légitimes, ouvrant la voie à une exploitation malveillante.
Exploitation de la faille : du compte utilisateur au contrôle total
L’exploitation de Certighost suit une chaîne d’actions bien précise. Un attaquant disposant d’un compte utilisateur standard peut créer un compte machine, une opération autorisée par défaut grâce à la valeur *ms-DS-MachineAccountQuota* fixée à 10. Ce compte machine sert ensuite à exposer des services LDAP frauduleux, qui seront interrogés par l’autorité de certification.
En réponse, le faux serveur renvoie des informations falsifiées, notamment l’objectSid et le dNSHostName d’un contrôleur de domaine cible. L’autorité de certification, dupée, génère alors un certificat valide au nom de ce contrôleur. Ce certificat permet ensuite à l’attaquant de s’authentifier via PKINIT, un protocole d’authentification par certificat.
Une fois authentifié en tant que contrôleur de domaine, l’attaquant peut lancer une attaque DCSync, lui permettant de récupérer le secret krbtgt. Ce dernier, clé de voûte de l’authentification Kerberos, donne un accès total au domaine, équivalant à une compromission complète.
Quels environnements sont vulnérables et comment se protéger ?
Périmètre d’impact et conditions d’exploitation
La faille Certighost touche une large gamme de versions de Windows Server, allant de 2012 à 2025, y compris les éditions Server Core. Cependant, plusieurs conditions doivent être réunies pour que l’exploitation soit possible :
– La présence d’une autorité de certification d’entreprise intégrée à Active Directory.
– Une inscription réalisée via le modèle de certificat machine par défaut.
– Une valeur *ms-DS-MachineAccountQuota* non modifiée (ou un compte machine déjà contrôlé par l’attaquant).
– Une connectivité réseau entre le serveur vulnérable et la machine de l’attaquant via SMB et LDAP.
Aucun droit d’administrateur n’est requis, et aucune interaction utilisateur n’est nécessaire, ce qui rend cette faille particulièrement dangereuse.
Le correctif Microsoft et les bonnes pratiques
Microsoft a corrigé cette vulnérabilité le 14 juillet 2026, dans le cadre de son Patch Tuesday, qui a inclus pas moins de 570 correctifs. Le correctif modifie le comportement de l’autorité de certification pour qu’elle vérifie systématiquement l’authenticité des serveurs contactés lors du processus *chase*.
Pour renforcer la sécurité de leur infrastructure, les administrateurs sont invités à :
– Appliquer immédiatement le correctif Microsoft.
– Limiter la valeur ms-DS-MachineAccountQuota pour restreindre la création de comptes machine.
– Segmenter le réseau pour limiter les communications SMB et LDAP aux seuls serveurs autorisés.
– Surveiller les activités suspectes liées aux inscriptions de certificats.
FAQ
Qu’est-ce que la faille Certighost (CVE-2026-54121) ?
Certighost est une vulnérabilité critique dans le service AD CS de Windows Server, permettant à un attaquant avec un simple compte utilisateur de compromettre un domaine Active Directory en usurpant l’identité d’un contrôleur de domaine.
Quels systèmes sont concernés par cette faille ?
La vulnérabilité affecte les versions de Windows Server de 2012 à 2025, à condition qu’une autorité de certification d’entreprise soit configurée et que certaines conditions réseau soient remplies.
Comment se protéger contre Certighost ?
La première mesure consiste à appliquer le correctif Microsoft publié en juillet 2026. Il est également recommandé de limiter la création de comptes machine et de segmenter le réseau pour réduire les risques.
Conclusion
La faille Certighost (CVE-2026-54121) rappelle l’importance de la vigilance dans la gestion des infrastructures Active Directory. Son exploitation, bien que technique, ne nécessite aucun privilège élevé et peut conduire à une compromission totale du domaine. Les administrateurs doivent agir rapidement en appliquant les correctifs et en adoptant des mesures de sécurité renforcées.
Cette vulnérabilité souligne également la nécessité de surveiller en permanence les mécanismes de certification et d’authentification, souvent ciblés par les attaquants. En suivant les bonnes pratiques et en restant informé des dernières menaces, il est possible de limiter les risques et de protéger efficacement son environnement.
