著者: Len Noe（BeyondTrust ソリューションアーキテクト）
成熟したActive Directory環境には、それを運用している人々自身が普段はあまり口にしたがらないほど強大な権限を静かに握っているコンポーネントがあります。認証局(CA)です。組織のIT資産全体が「信頼する」と合意している存在、それがCAなのです。
CAが証明書に署名すると、下流にあるすべてのマシン、サービス、認証フローはその署名を真実として扱います。これは1つのシステムに集中した膨大な信頼であるにもかかわらず、多くの組織はまるで一度設置したら二度と考えなくてよいユーティリティであるかのように扱っています。
Certighost(CVE-2026-54121として追跡)は、その信頼を誤った場所に置いた場合に何が起こるかを思い知らせてくれる事例です。研究者らは2026年7月24日、実際に動作する概念実証(PoC)を公開し、標準的なドメインアカウントしか持たない低権限のActive Directoryユーザーが、Enterprise CAを騙してドメインコントローラー用の有効な認証証明書を発行させ、その証明書を使ってドメインコントローラーになりすませることを実証しました。
Microsoftは2026年7月14日に修正プログラムを提供し、CVSSスコアは8.8と評価されています。
Certighostの実際の仕組み
Active Directory Certificate Servicesは、Microsoftの公開鍵基盤(PKI)であり、スマートカードログオン、デバイスおよびユーザー認証、VPNアクセスの基盤となる証明書を発行・管理しています。標準的なドメインユーザーがドメインコントローラーを表す証明書を取得できる理由は本来ありませんが、Certighostはアクセス制御リスト(ACL)にはまったく触れることなくこの境界を突破します。
この欠陥は、AD CSの登録機能における「chase」と呼ばれる挙動に存在します。Enterprise CAがローカルで対象オブジェクトを即座に解決できない場合、リクエスト側が指定したルーティング情報(cdcというパラメータ)に従って、別の場所でオブジェクトを検索できるようになっています。
問題は、CAがcdcで指定されたエンドポイントに接続する前に、それが正当なドメインコントローラーであるかどうかをまったく検証しない点です。攻撃者がcdcを自身の管理下にあるマシンに向けると、CAは律儀にその不正なエンドポイントへ外向き接続を行い、相手は偽造したID情報――対象ドメインコントローラーのオブジェクトセキュリティ識別子やDNSホスト名を含む――を返してきます。
CAは伝えられた情報をそのまま信用し、そのIDを署名済みのX.509証明書に紐付けて、攻撃者にドメインコントローラーであることを示す証明書を渡してしまうのです。
ここから先は、よく知られた攻撃経路をたどります。攻撃者はこの証明書を、Kerberosの公開鍵拡張であるPKINITとともに使用し、ドメインコントローラーのマシンアカウントとしてチケット許可チケット(TGT)を取得します。
ドメインコントローラーのアカウントは元々ディレクトリレプリケーション権限を持っており、実際のDCに対してDCSync操作を実行し、krbtgtアカウントのハッシュを含む資格情報を抜き取るには十分です。krbtgtを手に入れれば、Kerberosチケットを自在に偽造できるようになり、実質的にドメインを掌握したことになります。
テストでは標準的なドメインユーザーアカウントで十分でした。これは、一般ユーザーがマシンアカウントを作成できるデフォルトのMachineAccountQuotaを含む、Active Directoryのデフォルト設定が、この攻撃連鎖に必要なものをすべて用意していたためです。
公開された時点では、実際に悪用された事例は確認されていません。しかし、それで安心してはいけません。動作するPoCが公開されたことで、再現に必要な労力は大幅に下がりました。「PoCが存在する」状態から「一般的な攻撃ツールに組み込まれる」状態までの間隔は、年単位ではなく週単位で測られるのが実情です。
脆弱性は新しくても、隠れた特権は昔からそこにある
Certighostは、信頼関係の中に埋もれた特権や見過ごされたデフォルト設定が、いかにしてドメイン侵害への道筋となり得るかを浮き彫りにしました。
BeyondTrustが無償で提供するIdentity Security Risk Assessmentは、こうした隠れたIDおよび特権の露出が次の攻撃経路になる前に、貴社の環境内でそれらを洗い出すお手伝いをします。
これは証明書のバグではなく、特権と信頼の失敗である
Certighostを「PKIの専門的な話」として片付け、CAの管理者に対応を丸投げしてパッチが適用されたら終わり、と考えたくなるかもしれません。
しかし証明書関連の仕組みを取り除いて攻撃の構造だけを見れば、無権限のIDが信頼されたシステムを操って特権IDのお墨付きを得ており、しかも環境側にはその結果を疑う仕組みが一切なかったことがわかります。これは、ID(アイデンティティ)セキュリティの核心に位置する「信頼の検証」の問題です。
認証局は受動的な機器ではありません。それ自体が特権を持つIDであり、ドメイン全体に代わって信頼を作り出す存在です。Microsoftが提供した修正プログラムは、本質的には、chaseによる検索先が本当にドメインコントローラーであることを確認する検証ステップを追加するものです。
これはID主導型の侵害に繰り返し見られる特徴です。攻撃者が暗号技術や認証そのものを破ることはほとんどありません。彼らが見つけ出すのは、システムが確認せずに信頼することを選んでしまった場所なのです。
前提条件の中には、もう1つ厄介な教訓が隠れています。Active Directoryのデフォルト構成は、認証済みのすべてのユーザーに小さいながらも標準的な特権を与えています。それは、デフォルトで許可されているマシンアカウントの作成権限であり、これはMachineAccountQuotaによってもたらされています。
Certighostは、この標準的な権限に密かに依存する数多くの攻撃連鎖の1つに過ぎません。今回のCVE自体は新しいものですが、その土台となった潜在的な特権は、何年も前から皆さんのドメイン内に存在していたのです。
この脆弱性は近道を作り出しただけであり、そもそもの地形はすでに危険なものでした。
低権限の足掛かりを1つでも手に入れた執念深い攻撃者にとって、ドメインの完全掌握に至る現実的な経路が存在するのは、権限が誰にも積極的に管理されない場所――広すぎる証明書テンプレートの権限、寛容すぎるマシンアカウントのデフォルト設定、CAとドメイン間のフラットな信頼関係、そしてエンドポイントは監視していてもID制御プレーンは監視していない体制――に蓄積してしまっているからです。
Certighostは、こうした条件がいかに積み重なって危険を増幅させるかを鮮やかに示した事例です。このCVEを取り除いたとしても、根本にある露出はそのまま残り、次の攻撃手法を待ち受けることになります。
実際に取るべき対策
まずはパッチ適用です。Microsoftが2026年7月14日に提供した更新プログラムを、稼働中のすべての発行CAに適用してください。この更新には接続先を検証する仕組みが導入されており、今回のchase機能の悪用を根本から遮断できます。
適用が遅れる場合、研究者らは脆弱なchase機能を無効化する回避策を公開しています。ただし、導入前には必ずテストしてください。この機能は正規の登録処理を支えるために存在しており、無効化することでそれらの処理に支障が出る可能性があります。
直接的な修正に加えて、今回の攻撃が依拠していた標準的な特権そのものを減らすことも重要です。ドメインのMachineAccountQuotaをゼロに設定すれば、一般ユーザーがデフォルトでマシンアカウントを作成できる権限がなくなり、この種の攻撃手法の攻撃対象領域を大きく縮小できます。
ただし、この変更には代償が伴います。一部のプロビジョニングワークフローやレガシーツールは、ユーザーがマシンをドメインに参加させられることを前提としているため、そうした依存関係を洗い出し、誰にでも開放しておくのではなく、管理された委任アカウント経由でマシン作成を行うようにしてください。
次に、CA自体の通信を制限しましょう。認証局からの発信SMBおよびLDAP通信を、既知かつ許可されたドメインコントローラーのみに制限すれば、攻撃連鎖における不正エンドポイントへの接続という段階そのものを直接的に無力化できます。
Enterprise CAの展開状況、証明書テンプレート、登録権限を見直してください。どのプリンシパルがこの証明書を要求できるのか、その母集団はこの証明書が表すIDを保持する正当な業務上の理由を持っているのか、確認する必要があります。
ほとんどの環境ではこの基準に照らして証明書登録権限を監査したことがなく、まさにそこからAD CS攻撃の経路が生まれています。
最後に、正しい層を監視することが欠かせません。異常なマシンアカウント作成、不審な証明書登録アクティビティ、DCSync操作を監視し、エンドポイントのテレメトリだけに頼るのではなく、CAの登録イベントにも注意を払ってください。エンドポイント監視は元々ID攻撃を検知するために設計されたものではありません。
ドメインコントローラー以外から発生するDCSyncは、即座の対応に値する事象です。もし自社の検知体制がそれを可視化できないなら、それは早急に埋めるべきギャップです。
本当に持ち帰るべき教訓
Certighostはいずれパッチが適用され、記録され、四半期もすれば大方忘れ去られるでしょう。しかし、そこに落とし穴があります。対応がKB番号の適用だけで終わってしまえば、組織は何も本質的な教訓を得られません。個々のバグそのものが問題の本質ではなかったからです。本当の問題は、企業における信頼というものが一度設定すれば永続的に受け継がれる性質のものではなく、設計し、継続的に検証し続けるべきものだ、という点にあります。
守りを固めるために必要なのは、パッチ適用リストを長くすることではありません。IDをインフラとして扱い、特権を「維持すべき利便性」ではなく「最小化すべきリスク」として捉える発想の転換です。自分たちが選んだ覚えのないデフォルト設定も含め、あらゆる場所に潜む標準的な特権を削減し、システムが何かの信頼に基づいて行動しようとするあらゆる場面で、その信頼を検証するようにしてください。玄関先だけを見張っていても不十分です。
皆さんの認証局は、設置されたその日から、皆さんに代わって信頼されたIDを発行し続けてきました。今取り組むべきなのは、それが本当に確認できるIDに対してのみ発行されるようにすることです。
BeyondTrustが無償で提供するIdentity Security Risk Assessmentが、貴社の環境における隠れたIDおよび特権の露出をどのように洗い出すか、ぜひご確認ください。
著者について
Len Noeは、BeyondTrustのソリューションアーキテクトであり、トランスヒューマン、ポッドキャスター、国際的なサイバーセキュリティ講演者、著者、テクニカルエバンジェリスト、そして13個のマイクロチップを体内に埋め込んだバイオハッカーでもあります。
元ブラックハットハッカーとして30年以上のテクノロジー業界経験を持ち、70カ国以上で講演を行ってきました。DEF CON 2025でプレミア上映されたドキュメンタリー「I Am Machine」にも出演しています。
BeyondTrustは、特権中心のアイデンティティセキュリティ分野におけるグローバルリーダーであり、「Paths to Privilege™」の保護を専門としています。リスクを生み出すのはID単体ではなく、特権です。人間、マシン、AIエージェントのIDがあらゆる環境で爆発的に増加する中、BeyondTrustは単一のプラットフォームからそのすべての特権を発見・制御・保護できる唯一の企業です。フォーチュン100企業のうち75社を含む20,000社以上の顧客から信頼され、業界トップクラスのアナリストから複数カテゴリーにわたるリーダーとして評価されており、BeyondTrustはアイデンティティセキュリティを「管理すべき課題」から「戦略的な強み」へと再定義しています。
詳細はwww.beyondtrust.comをご覧ください。
