脅威動向 2026-07-25（土）配信

AD CS脆弱性「Certighost」：低権限ユーザーのDCなりすまし手法

Active Directory証明書サービス（AD CS）のエンロールメント処理における不適切な承認不備（CVE-2026-54121）の解説です。低権限のドメインユーザーが悪用してドメインコントローラーになりすまし、DCSync等により機密情報を取得できる手法が含まれています。

主要なTTP

AD CSのエンロールメントフォールバック（chase）時の不十分な検証

不正なLSAおよびLDAPサービスを通じた認証チャレンジの不正中継

PKINITを用いたドメインコントローラーとしてのKerberos認証

DCSyncを通じたkrbtgt等のシークレット情報の取得

対象となる組織・利用者

エンタープライズCAを運用し、Active Directory環境を持つ組織。

推奨される防御アクション

Microsoftが提供する7月14日のセキュリティ更新プログラムをAD CSホストに適用する

緊急のパッチ適用が困難な場合は、回避策としてchaseフラグをクリアし証明書サービスを再起動する（※本番適用前に十分な検証を推奨）

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。