Certighost Exploit: Niedrig privilegierte AD-User können Domänen-Controller impersonieren
Der Certighost-Exploit (CVE-2026-54121) ermöglicht es einem gewöhnlichen AD-Benutzer, einen Domänen-Controller zu impersonieren. Öffentlicher PoC erhöht Druck auf Admins.
Am 24. Juli 2026 veröffentlichten Sicherheitsforscher einen funktionierenden Proof-of-Concept-Exploit für eine Active-Directory-Schwachstelle, die jede Domäne gefährdet. Der Certighost-Exploit (CVE-2026-54121) erlaubt es einem beliebigen Domänen-Benutzer ohne Adminrechte, ein Domain-Controller-Zertifikat zu erlangen und die gesamte AD-Umgebung zu übernehmen. Ein vollständiges PoC ist öffentlich auf GitHub verfügbar.
Was ist passiert?
Die Forscher H0j3n und Aniq Fakhrul entdeckten eine Schwachstelle im Enrollment-Fallback-Mechanismus von Active Directory Certificate Services (AD CS). AD CS ist Microsofts eingebaute Public-Key-Infrastruktur, die X.509-Zertifikate für Verschlüsselung, Signatur und Authentifizierung in einer Domäne ausstellt.
Das Problem liegt in der sogenannten Chase-Funktion. Wenn eine Zertifikatsanfrage an einem Enrollment-Endpunkt fehlschlägt, kann AD CS auf alternative Endpunkte ausweichen. Certighost nutzt genau diese Fallback-Logik aus, um die Zertifizierungsstelle dazu zu bringen, ein Domain-Controller-Zertifikat an ein normales, nicht privillegiertes Benutzerkonto auszustellen.
Die Angriffskette im Detail
Der Angriff funktioniert in fünf Schritten:
- Schritt 1: Der Angreifer benötigt ein normales Domänen-Benutzerkonto. Keine Adminrechte, keine speziellen Gruppenmitgliedschaften, keine erhöhten Zugriffsrechte.
- Schritt 2: Der Angreifer sendet eine Zertifikatsanfrage an die AD CS-CA, die den Chase-Mechanismus auslöst.
- Schritt 3: AD CS prüft bei der Chase-Verarbeitung nicht ordnungsgemäß, ob das anfragende Konto mit dem Subjekt des ausgestellten Zertifikats übereinstimmt. Das Zertifikat wird mit Domain-Controller-Attributen ausgestellt.
- Schritt 4: Mit dem betrügerisch erlangten DC-Zertifikat authentifiziert sich der Angreifer über Kerberos PKINIT. Der KDC sieht ein gültiges DC-Zertifikat und stellt einen TGT mit Domain-Controller-Rechten aus.
- Schritt 5: Mit dem DC-TGT führt der Angreifer einen DCSync-Angriff durch, extrahiert die NTLM-Passwort-Hashes aller Konten einschließlich krbtgt und kann Golden Tickets fälschen.
Technische Details
Die Schwachstelle hat einen CVSS-Score von 8.8. Die technischen Details im Überblick:
- CVE-2026-54121, CVSS 8.8 (High)
- Betrifft die Chase-Verarbeitung in AD CS
- Der CA-Code vertraut dem im cdc-Attribut angegebenen Host, ohne zu prüfen, ob es sich um einen tatsächlichen Domain Controller handelt
- Ein Angreifer kann eigene SMB-, LDAP- und LSA-Dienste aufbauen und die CA darauf verweisen
- Über die Standard-Einstellung ms-DS-MachineAccountQuota kann jeder Benutzer bis zu 10 Maschinenkonten anlegen, die die Authentifizierungsprüfungen der CA bestehen
- Microsoft-Patch führt eine neue Validierungsfunktion _ValidateChaseTargetIsDC ein
Wer ist betroffen?
Betroffen sind alle Organisationen, die Active Directory Certificate Services einsetzen, insbesondere:
- Umgebungen mit aktivierten Chase-Fallback (EDITF_ENABLECHASECLIENTDC)
- Enterprise CAs, die Zertifikate für Domänen-Controller ausstellen
- Unternehmen mit Active Directory und PKI-Infrastruktur
Nicht betroffen: Umgebungen ohne AD CS oder mit deaktiviertem Chase-Mechanismus.
Was sollten Admins jetzt tun?
- Sofort patchen: Juli-2026-Sicherheitsupdates von Microsoft installieren (Patch Tuesday, 14. Juli 2026)
- Chase-Fallback deaktivieren: Als Überbrückungsmaßnahme:
certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDCund CertSvc-Dienst neu starten - EDITF_ENABLECHASECLIENTDC auditieren: Prüfen, ob die Einstellung auf allen Enterprise CAs gesetzt ist
- AD CS auditieren: Mit Tools wie Certify oder Bloodhound nach potenziell missbräuchlichen Zertifikatsvorlagen suchen
- Logs prüfen: Nach unerwarteten Zertifikatsanfragen und Kerberos-PKINIT-Authentifizierungen suchen
- krbtgt-Hash zurücksetzen: Bei Verdacht auf Ausnutzung zweimal den krbtgt-Passwort-Hash zurücksetzen
Einordnung für Unternehmen
Certighost ist eine der gefährlichsten AD-CS-Schwachstellen seit Certified Pre-Owned (SpecterOps, 2021). Anders als ESC1 erfordert Certighost keine Fehlkonfiguration, sondern trifft korrekt konfigurierte AD-CS-Deployments. Jedes Unternehmen mit aktiver AD CS-Infrastruktur sollte den Juli-Patch sofort priorisieren.
Die Chase-Fallback-Deaktivierung ist ein schneller Workaround, unterbricht aber möglicherweise legitime Zertifikats-Workflows. Erst in einer Testumgebung validieren, dann produktiv ausspielen.
Passende Anleitungen auf S-EDV
- CISA KEV: Warum der Known Exploited Vulnerabilities Catalog für Admins Pflicht ist - Priorisierungshilfe für kritische Patches wie den Certighost-Fix.
- Microsoft Security Updates: Warum der monatliche Patch-Prozess sauber sein muss - Grundlagen für das Patch-Management beim monatlichen Patchday.
