{"id":1749,"date":"2026-07-24T16:42:03","date_gmt":"2026-07-24T16:42:03","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/24\/el-exploit-certighost-permite-a-usuarios-de-active-directory-con-pocos-privilegios-hacerse-pasar-por-un-controlador-de-dominio-cyberdefensa-mx\/"},"modified":"2026-07-24T16:42:03","modified_gmt":"2026-07-24T16:42:03","slug":"el-exploit-certighost-permite-a-usuarios-de-active-directory-con-pocos-privilegios-hacerse-pasar-por-un-controlador-de-dominio-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/24\/el-exploit-certighost-permite-a-usuarios-de-active-directory-con-pocos-privilegios-hacerse-pasar-por-un-controlador-de-dominio-cyberdefensa-mx\/","title":{"rendered":"El exploit Certighost permite a usuarios de Active Directory con pocos privilegios hacerse pasar por un controlador de dominio \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Los investigadores H0j3n y Aniq Fakhrul publicaron un exploit funcional el 24 de julio que permite a un usuario de Active Directory con pocos privilegios obtener un certificado para un controlador de dominio y autenticarse como esa m\u00e1quina.<\/p>\n

Le pusieron el nombre en c\u00f3digo a la falla. Certighost<\/strong>. Debido a que las cuentas de controlador de dominio tienen derechos de replicaci\u00f3n de directorios, la credencial Kerberos resultante puede recuperar el krbtgt<\/code> secreto a trav\u00e9s de DCSync<\/code>.<\/p>\n

Microsoft solucion\u00f3 el problema de los Servicios de certificados de Active Directory (AD CS) diez d\u00edas antes como CVE-2026-54121<\/code><\/strong>. Microsoft clasific\u00f3 la falla como autorizaci\u00f3n inadecuada y le asign\u00f3 una puntuaci\u00f3n CVSS de 8,8.<\/p>\n

La explotaci\u00f3n requiere acceso a la red y una cuenta de dominio, pero no derechos de administrador ni interacci\u00f3n del usuario. En la prueba de los investigadores, un valor normal Domain Users<\/code> La cuenta podr\u00eda crear una cuenta de computadora con la configuraci\u00f3n predeterminada. ms-DS-MachineAccountQuota<\/code> valor de 10<\/code> o reutilizar uno que ya controlaba.<\/p>\n

La cadena tambi\u00e9n requer\u00eda una CA empresarial que siguiera la ruta de la cadena vulnerable, inscripci\u00f3n a trav\u00e9s de la plantilla de m\u00e1quina predeterminada y accesibilidad de la red desde la CA hasta los oyentes SMB y LDAP del atacante.<\/p>\n

Las organizaciones que ejecutan una CA empresarial deben instalar las actualizaciones de Microsoft del 14 de julio en los hosts de AD CS. Hasta el 24 de julio, ninguna fuente primaria revisada por The Hacker News inform\u00f3 sobre explotaci\u00f3n en la naturaleza, pero la prueba de concepto completa era p\u00fablica. Esa falta de presentaci\u00f3n de informes no prueba que no se haya producido explotaci\u00f3n.<\/p>\n

Los investigadores tambi\u00e9n documentaron una forma probada en laboratorio de desactivar el recurso de persecuci\u00f3n cuando no es posible aplicar parches de inmediato, aunque puede interrumpir los flujos de inscripci\u00f3n leg\u00edtimos.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El error se encuentra en un retroceso de inscripci\u00f3n de AD CS conocido como persecuci\u00f3n. Cuando una autoridad de certificaci\u00f3n (CA) no puede obtener la informaci\u00f3n de una entidad final, la Protocolo de inscripci\u00f3n de Windows<\/a> permite que una solicitud proporcione cdc<\/code>el servidor de Active Directory con el que contactar, y rmd<\/code>el objeto de la m\u00e1quina a resolver.<\/p>\n

los investigadores encontr\u00f3<\/a> que la CA sigui\u00f3 la informaci\u00f3n proporcionada por el solicitante cdc<\/code> host a trav\u00e9s del Bloque de mensajes del servidor (SMB) y el Protocolo ligero de acceso a directorios (LDAP) sin demostrar primero que era un controlador de dominio real.<\/p>\n

Un atacante podr\u00eda ejecutar servicios LDAP y Autoridad de seguridad local (LSA) no autorizados, transmitir el desaf\u00edo de autenticaci\u00f3n de la CA al controlador de dominio real a trav\u00e9s de Netlogon<\/code>y devolver el controlador de dominio de destino objectSid<\/code> y dNSHostName<\/code>. Una cuenta de m\u00e1quina controlada proporcion\u00f3 la identidad de dominio v\u00e1lida necesaria para que la CA contin\u00fae. La CA autentic\u00f3 esa cuenta y luego firm\u00f3 la identidad del controlador de dominio de destino en el certificado.<\/p>\n

\"\"<\/a><\/div>\n

El explotaci\u00f3n p\u00fablica<\/a> Automatiza la cadena. Crea una cuenta de computadora o reutiliza una especificada con --computer-name<\/code>. La herramienta inicia oyentes en los puertos. 445<\/code> y 389<\/code> y transmite el desaf\u00edo de la CA al controlador de dominio real a trav\u00e9s de Netlogon<\/code>. Luego presenta el cdc<\/code> y rmd<\/code> atributos y escribe un PFX<\/code> cach\u00e9 de credenciales de archivos y Kerberos.<\/p>\n

El exploit utiliza criptograf\u00eda de clave p\u00fablica para la autenticaci\u00f3n inicial en Kerberos (PKINIT) para autenticarse como controlador de dominio de destino. La credencial resultante puede solicitar secretos de cuenta a trav\u00e9s de DCSync<\/code>incluido krbtgt<\/code>.<\/p>\n

El an\u00e1lisis binario de los investigadores encontr\u00f3 que Microsoft Actualizaci\u00f3n de julio<\/a> agrega CRequestInstance::_ValidateChaseTargetIsDC<\/code> a certpdef.dll<\/code> antes de que el CA siga una persecuci\u00f3n. La validaci\u00f3n rechaza literales de IP, nombres demasiado largos y metacaracteres LDAP. Tambi\u00e9n requiere exactamente un objeto de computadora de Active Directory coincidente cuyo nombre DNS coincida con el objetivo y cuyo userAccountControl<\/code> incluye SERVER_TRUST_ACCOUNT<\/code> (8192<\/code>). un mas tarde SID<\/code> la comparaci\u00f3n bloquea la sustituci\u00f3n de objetos.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El exploit p\u00fablico se prob\u00f3 en un bosque de Windows Server 2016 o posterior con una CA empresarial, la plantilla de certificado de m\u00e1quina predeterminada y la cuota de cuenta de m\u00e1quina predeterminada. El registro NVD<\/a> enumera por separado desde Windows Server 2012 hasta Windows Server 2025, incluidas las ediciones Server Core enumeradas, como afectadas. Tambi\u00e9n enumera las versiones 1607 y 1809 de Windows 10. La falla estaba ausente en Cat\u00e1logo de vulnerabilidades explotadas conocidas de CISA<\/a> el 24 de julio.<\/p>\n

Los investigadores informaron la falla a Microsoft el 14 de mayo. Microsoft la confirm\u00f3 el 22 de mayo y la parch\u00f3 el 14 de julio. Los investigadores la revelaron p\u00fablicamente el 24 de julio. Los administradores que no puedan parchear inmediatamente pueden borrar el indicador de persecuci\u00f3n y reiniciar los Servicios de Certificate Server:<\/p>\n

certutil -setreg policy\\EditFlags -EDITF_ENABLECHASECLIENTDC<\/code><\/p>\n

Restart-Service CertSvc -Force<\/code><\/p>\n

Los investigadores probaron esa mitigaci\u00f3n s\u00f3lo en un laboratorio controlado. Recomiendan prepararlo primero y tratar la actualizaci\u00f3n de julio como una soluci\u00f3n permanente.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Los investigadores H0j3n y Aniq Fakhrul publicaron un exploit funcional el 24 de julio que permite a un usuario de Active Directory con pocos privilegios obtener un certificado para un controlador de dominio y autenticarse como esa m\u00e1quina. Le pusieron el nombre en c\u00f3digo a la falla. Certighost. Debido a que las cuentas de controlador […]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1382,4026,31,1249,24,3727,3010,633,3122,655,265,3121,127,317,1115],"class_list":["post-1749","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-active","tag-certighost","tag-con","tag-controlador","tag-cyberdefensa-mx","tag-directory","tag-dominio","tag-exploit","tag-hacerse","tag-pasar","tag-permite","tag-pocos","tag-por","tag-privilegios","tag-usuarios"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1749","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1749"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1749\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1749"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1749"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1749"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}