Proof-of-Concept Certighost Dirilis, Celah Windows Berpotensi Ambil Alih Domain Active Directory
Sebuah proof-of-concept (PoC) untuk kerentanan Certighost pada Windows Active Directory Certificate Services (AD CS) telah dipublikasikan. Eksploitasi ini memungkinkan penyerang yang telah memiliki akses ke jaringan memperoleh hak administratif tingkat domain dan berpotensi mengambil alih seluruh lingkungan Active Directory.
Kerentanan tersebut dilacak sebagai CVE-2026-54121 dan telah ditambal oleh Microsoft melalui pembaruan keamanan Patch Tuesday Juli 2026.
Penyerang Berhak Akses Rendah Bisa Menguasai Domain
Menurut Microsoft, celah ini dapat dimanfaatkan oleh penyerang yang telah memiliki akun terautentikasi di dalam domain.
Dengan memanipulasi atribut pada akun mesin (machine account), penyerang dapat memperoleh sertifikat dari Active Directory Certificate Services yang memungkinkan autentikasi sebagai mesin target menggunakan mekanisme PKINIT (Public Key Cryptography for Initial Authentication in Kerberos).
Jika targetnya adalah akun Domain Controller, penyerang berpotensi memperoleh hak istimewa penuh untuk menjalankan berbagai operasi administratif pada Active Directory.
Kerentanan Berasal dari Mekanisme “Chase”
Certighost ditemukan oleh peneliti keamanan H0j3n dan Aniq Fakhrul, yang melaporkannya kepada Microsoft pada Mei 2026. Setelah patch dirilis, keduanya mempublikasikan detail teknis beserta kode eksploitasi.
Kerentanan berasal dari mekanisme fallback pada Active Directory Certificate Services yang dikenal sebagai chase.
Dalam proses penerbitan sertifikat, sistem menggunakan dua parameter utama:
- cdc (Client DC), yang menentukan server tujuan untuk dihubungi oleh Certification Authority (CA).
- rmd (Remote Domain), yang menentukan akun yang akan dicari selama proses validasi.
Sebelum diperbaiki, sistem tidak memverifikasi apakah server yang ditentukan melalui parameter cdc benar-benar merupakan Domain Controller yang sah.
Akibatnya, penyerang dapat mengarahkan proses validasi ke server palsu yang mereka kendalikan dan memberikan informasi identitas yang telah dimanipulasi.
Eksploitasi Bisa Berujung Pengambilalihan Domain
Dalam demonstrasi yang dilakukan peneliti, penyerang terlebih dahulu membuat machine account baru. Langkah ini dimungkinkan karena konfigurasi bawaan Active Directory masih mengizinkan pengguna domain biasa membuat sejumlah akun mesin melalui pengaturan ms-DS-MachineAccountQuota.
Selanjutnya, penyerang mengirim permintaan sertifikat yang mengarahkan Certification Authority ke layanan palsu yang mereka jalankan.
Karena sistem mempercayai informasi identitas yang dikirimkan server tersebut, CA menerbitkan sertifikat atas nama Domain Controller.
Sertifikat itu kemudian digunakan untuk memperoleh tiket Kerberos, mengambil hash NT akun Domain Controller, hingga melakukan serangan DCSync guna memperoleh kredensial akun krbtgt, yang merupakan salah satu aset paling sensitif dalam Active Directory.
Jika berhasil, pelaku praktis dapat menguasai seluruh domain Windows.
Microsoft Sudah Menutup Celah Ini
Microsoft telah memperbaiki Certighost melalui pembaruan keamanan Juli 2026.
Perbaikan tersebut menambahkan proses validasi baru sehingga Certification Authority kini memastikan bahwa server yang ditentukan melalui parameter cdc benar-benar merupakan Domain Controller yang terdaftar di Active Directory serta memverifikasi identitas yang dikembalikan.
Dengan mekanisme baru tersebut, server palsu tidak lagi dapat digunakan untuk memperoleh sertifikat secara ilegal.
Solusi Sementara bagi Administrator
Bagi organisasi yang belum dapat memasang pembaruan keamanan terbaru, para peneliti menyarankan untuk menonaktifkan sementara mekanisme chase fallback pada Active Directory Certificate Services.
Namun, mereka menegaskan bahwa langkah tersebut hanyalah mitigasi sementara dan belum diuji secara menyeluruh pada lingkungan produksi.
Karena itu, administrator tetap disarankan untuk segera memasang pembaruan keamanan Juli 2026 agar sistem terlindungi dari eksploitasi Certighost.
Dirilisnya proof-of-concept ini meningkatkan risiko penyalahgunaan oleh pelaku ancaman. Organisasi yang masih menjalankan server Windows tanpa pembaruan terbaru sebaiknya segera melakukan patching untuk mencegah potensi kompromi terhadap seluruh infrastruktur Active Directory.
