攻撃者にWindowsドメインを乗っ取られる新たなCertighost PoCエクスプロイトが公開

Windows Active Directory Certificate Servicesの脆弱性「Certighost」を突くPoC(概念実証)エクスプロイトが公開されました。認証済みの攻撃者がこれを悪用すれば、Windowsドメインを侵害できる可能性があります。

CVE-2026-54121として追跡されているこの脆弱性は、2026年7月のPatch Tuesdayのセキュリティ更新プログラムの一部としてMicrosoftにより修正されています。

「認証済みの攻撃者は、マシンアカウントに関連付けられた属性を操作し、Active Directory Certificate Servicesから証明書を取得することで、PKINITを介してそのマシンとして認証を行うことが可能でした」とMicrosoftは説明しています。

攻撃者がドメインコントローラーのアカウントを標的にできる場合、Microsoftによれば、そのドメインコントローラーとして認証し、権限を持つActive Directory操作を実行できるとしています。

セキュリティ研究者のH0j3n氏とAniq Fakhrul氏は2026年5月14日にこの脆弱性をMicrosoftに報告し、Microsoftは7月のセキュリティ更新プログラムでこの欠陥を修正しました。

先週、両研究者はこの脆弱性に関する技術的詳細を公開し、ドメインレベルの管理者権限を取得できるエクスプロイトも合わせてリリースしました。

「Certighostは、低権限のドメインユーザーがドメインコントローラーになりすまし、検証したAD CS構成においてドメイン侵害を達成できてしまうActive Directory Certificate Services (AD CS)の脆弱性です」と研究者らの技術解説記事には記されています。

AD CSのchaseメカニズムの悪用

Active Directory Certificate Services (AD CS)は、Windowsドメイン向けのMicrosoftの公開鍵基盤であり、認証やセキュアな通信のために証明書を発行する際に使用されます。

証明書ベースの認証の際、ドメインコントローラーはその証明書がどのActive Directoryアカウントに属するかを検証したうえで、Kerberos資格情報を発行します。

Certighostは、AD CSが証明書の登録リクエスト時に使用するフォールバックの仕組み(研究者らが「chase」と呼ぶもの)に影響を及ぼします。このメカニズムは、次の2つの証明書リクエスト値を使用します。

• cdc(Client DC)は、認証局(CA)が接続すべきサーバーを指定します。

• rmd(Remote Domain)は、CAが検索すべきアカウントを指定します。

両方の属性が指定されている場合、CAはcdc値で指定されたサーバーに接続し、指定されたrmdを検索します。

しかし従来のシステムでは、攻撃者が制御可能なcdc値を通じて指定されたサーバーが正規のドメインコントローラーであるかどうかを検証していませんでした。

このため攻撃者は、不正なSMB、LSA、LDAPサービスを実行し、CAを攻撃者が制御するシステムに誘導したうえで、標的のマシンアカウントに関する虚偽のディレクトリ情報を返すことが可能でした。

研究者らが実演した攻撃では、まず低権限のユーザーがマシンアカウントを作成します。これはデフォルトのms-DS-MachineAccountQuota構成では許可されている操作です。

「デフォルトのms-DS-MachineAccountQuota設定を通じて作成されたマシンアカウントは、有効なドメインプリンシパルです」とレポートには記されています。

「これにより、なりすまし対象となっているドメインコントローラー自体ではないにもかかわらず、攻撃者が制御するchaseエンドポイントが、CAが処理を継続するために必要な認証チェックを満たすことができてしまいました」

続いて攻撃者は、CAを不正なサービスへと誘導し、ドメインコントローラーのアカウントを標的とする証明書リクエストを送信します。CAは攻撃者が制御するサービスから返されたID情報を信頼してしまうため、そのドメインコントローラーとして認証しActive Directory操作を実行できる証明書を発行してしまいます。

公開されたcertighost.py PoCは、この一連の流れを自動化するツールです。取得した証明書を使ってPKINITで標的のドメインコントローラーとして認証を行い、得られたKerberos資格情報を.ccacheファイルに保存したうえで、そのアカウントのNTハッシュを抽出します。

さらに研究者らは、保存したKerberos資格情報とImpacketのsecretsdumpツールを使ってDCSync攻撃を実行し、krbtgtアカウントの資格情報を取得する様子も実演しました。

「ドメインコントローラーのアカウントにはディレクトリ複製の権限があります。得られたKerberos資格情報があれば、攻撃者はkrbtgtのシークレットを含むアカウントシークレットを要求できます」と研究者らは説明しています。

Microsoftは7月のPatch Tuesdayの更新プログラムの一部として、このchaseの処理に検証を追加することでこの脆弱性を修正しました。

CAは現在、cdc属性で指定されたサーバーがActive Directory内の正規のドメインコントローラーに対応しているかを検証し、返されたIDが期待するアカウントと一致することを確認するようになっています。

7月のセキュリティ更新プログラムを導入できない管理者向けに、研究者らは以下のコマンドを使ってオプションのchaseフォールバックを無効化できると述べています。

certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC
Restart-Service CertSvc -Force

ただし研究者らは、この回避策はあくまで一時的な緩和策にすぎず、本番環境での動作確認は十分に行われていないと強調しています。そのため管理者は、できるだけ早く最新のセキュリティ更新プログラムを導入することを優先すべきです。