Publicado en

Certighost (CVE-2026-54121): Cómo un usuario sin privilegios puede suplantar a un Controlador de Dominio

•Publicado enVulnerabilidades

El resurgir de las vulnerabilidades en Active Directory Certificate Services (AD CS)

En los últimos años, la infraestructura de clave pública (PKI) de Microsoft, específicamente a través de Active Directory Certificate Services (AD CS), ha pasado de ser un componente técnico en segundo plano a convertirse en uno de los vectores de ataque más críticos para las organizaciones. La publicación de investigaciones como ‘Certified Pre-Owned’ demostró que una configuración deficiente de la PKI puede ser más devastadora que ataques tradicionales como el Kerberoasting.

Hoy nos enfrentamos a una nueva amenaza denominada Certighost (CVE-2026-54121). Esta vulnerabilidad de elevación de privilegios ha sido calificada con una puntuación CVSS de 8.8, lo que subraya su peligrosidad en entornos corporativos que dependen de Windows Server para su gestión de identidades.

¿Qué es Certighost y por qué es tan crítico?

Certighost es un fallo de autorización en los servicios de certificados de Active Directory. Lo que diferencia a esta vulnerabilidad de otros ataques contra AD CS es su objetivo final: mientras que la mayoría de los exploits buscan obtener certificados de usuarios privilegiados (como administradores de dominio), Certighost permite a un atacante obtener un certificado que representa la identidad del propio Domain Controller (DC).

En el ecosistema de Active Directory, poseer la identidad de máquina de un Controlador de Dominio permite participar en mecanismos de autenticación centrales, facilitando no solo la escalada total a Administrador de Dominio, sino el compromiso íntegro de todo el bosque de identidades de la organización.

Análisis técnico del ataque

La vulnerabilidad ya cuenta con una Prueba de Concepto (PoC) pública que detalla el proceso que seguiría un atacante interno o un actor externo que haya logrado comprometer una cuenta de usuario básica:

  • Creación de cuenta: El atacante crea una cuenta de equipo o reutiliza una existente.
  • Intercepción de tráfico: Se inician servidores falsos (listeners) de protocolos SMB/LSA y LDAP en la red controlada por el atacante.
  • Solicitud manipulada: Se envía una solicitud de certificado a la Entidad Certificadora (CA) incluyendo atributos personalizados que apuntan a los servidores falsos del atacante.
  • Suplantación de identidad: La CA, al intentar validar la información, se conecta a los servidores del atacante. Estos responden con la identidad del Controlador de Dominio objetivo (SID, dNSHostName, etc.).
  • Emisión del certificado: La CA emite un certificado válido a nombre del Controlador de Dominio, entregando las llaves del reino al atacante.

Recomendaciones de seguridad para empresas

Microsoft ya ha lanzado parches de seguridad para mitigar este fallo. Sin embargo, desde la perspectiva de la gestión de riesgos de Intedya, la actualización del sistema es solo el primer paso. Una infraestructura PKI robusta requiere una supervisión continua.

Recomendamos a los responsables de seguridad y sistemas realizar las siguientes acciones:

  1. Aplicar los parches oficiales: Priorizar la actualización de todos los servidores que ejecutan AD CS y Controladores de Dominio.
  2. Auditoría de PKI: Realizar un inventario completo de todas las Enterprise CA y revisar las plantillas de certificados activas.
  3. Control de permisos: Revisar estrictamente quién tiene permisos de inscripción (Enroll y AutoEnroll) en la red.
  4. Monitoreo de eventos: Configurar alertas específicas para solicitudes de certificados inusuales o creación sospechosa de cuentas de equipo.

En muchas organizaciones, la PKI es una tecnología heredada que no se ha revisado desde su implementación inicial. Certighost es un recordatorio crítico de que la seguridad de la identidad es un proceso dinámico que exige auditorías periódicas y una configuración endurecida según los estándares internacionales de ciberseguridad.

Fuentes