Il 24 luglio 2026 i ricercatori H0j3n e Aniq Fakhrul hanno pubblicato un exploit funzionante — e disponibile su GitHub — per una falla di Active Directory Certificate Services (AD CS) che battezzano Certighost. La vulnerabilità, tracciata come CVE-2026-54121, permette a un normale account di dominio, privo di qualsiasi privilegio amministrativo, di farsi rilasciare un certificato a nome di un Domain Controller e, di conseguenza, di prendere il controllo dell'intera foresta Active Directory. Microsoft l'aveva corretta dieci giorni prima, nel Patch Tuesday del 14 luglio, ma la pubblicazione del codice d'attacco cambia radicalmente il livello di rischio per chi non ha ancora aggiornato.

I fatti

Microsoft classifica CVE-2026-54121 come improper authorization (autorizzazione impropria) e le assegna un punteggio CVSS di 8,8 su 10. Non è la gravità nominale, però, a raccontare la vera portata del problema: il difetto consente un'escalation da utente qualsiasi a dominio compromesso, cioè il salto più ambìto in qualunque attacco a una rete Windows.

Le condizioni per sfruttarla sono alla portata di un attaccante con un piede già dentro la rete: serve accesso di rete e un account di dominio valido, nessun diritto di amministratore e nessuna interazione della vittima. Nel test dei ricercatori è bastato un comune account del gruppo Domain Users, sfruttando la possibilità — attiva per impostazione predefinita — di creare fino a dieci account computer (il parametro ms-DS-MachineAccountQuota, che vale 10 di default). La catena richiede inoltre una Enterprise CA che segua il percorso vulnerabile, l'uso del template di certificato Machine predefinito e la raggiungibilità di rete dalla CA verso i servizi controllati dall'attaccante.

Secondo l'NVD sono interessate le versioni di Windows Server dal 2012 fino al 2025, incluse le edizioni Server Core, oltre a Windows 10 nelle build 1607 e 1809. Alla data del 24 luglio la falla non figurava nel catalogo Known Exploited Vulnerabilities della CISA e non risultavano sfruttamenti confermati in attacchi reali — ma, come ricordano gli stessi ricercatori, l'assenza di segnalazioni non prova che lo sfruttamento non stia già avvenendo, soprattutto ora che l'exploit è pubblico.

Come funziona l'attacco

Il difetto vive in un meccanismo di ripiego della procedura di enrollment di AD CS chiamato chase. Quando la Certification Authority non riesce a recuperare da sola le informazioni sull'entità che richiede il certificato, il protocollo consente alla richiesta di indicare due attributi: cdc, ovvero il server Active Directory da contattare, e rmd, l'oggetto computer da risolvere. Il problema è che la CA seguiva ciecamente il cdc fornito dal richiedente — via SMB e LDAP — senza prima verificare che si trattasse davvero di un Domain Controller.

Da qui l'attacco: chi lo conduce avvia servizi LSA e LDAP fittizi, inoltra la sfida di autenticazione della CA verso il vero Domain Controller tramite Netlogon e restituisce alla CA l'objectSid e il dNSHostName del DC bersaglio. La CA, ingannata, firma l'identità del Domain Controller dentro il certificato. Con quel certificato l'attaccante si autentica come il Domain Controller usando PKINIT; e poiché gli account dei DC hanno diritti di replica della directory, può richiedere i segreti dell'intero dominio con un DCSync, incluso l'hash dell'account krbtgt — la chiave che, di fatto, apre ogni porta. L'exploit pubblicato automatizza l'intera sequenza: crea o riusa un account computer, apre i listener sulle porte 445 e 389, esegue il relay e produce un file PFX e una cache di credenziali Kerberos pronte all'uso.

La correzione di Microsoft aggiunge una funzione di validazione (_ValidateChaseTargetIsDC) che, prima di seguire il chase, verifica che il bersaglio corrisponda a un solo oggetto computer reale in Active Directory, con nome DNS coerente e flag SERVER_TRUST_ACCOUNT, respingendo indirizzi IP, nomi sovradimensionati e metacaratteri LDAP.

Cosa significa per le aziende italiane

Active Directory è la spina dorsale dell'identità nella stragrande maggioranza delle organizzazioni italiane di medie e grandi dimensioni, e moltissime affiancano al dominio una Enterprise CA interna per il logon con smart card, l'autenticazione 802.1x, le VPN e i certificati macchina. È esattamente lo scenario in cui Certighost è più pericoloso: non richiede una configurazione errata dei template — l'errore classico delle vulnerabilità AD CS note come ESC — ma colpisce una funzione legittima del prodotto.

Il punto che deve far riflettere i responsabili IT e i CISO è la catena del rischio. Una singola casella di posta compromessa tramite phishing, una password riutilizzata, un fornitore con un account di dominio: qualunque punto d'appoggio a basso privilegio, che spesso viene derubricato a incidente minore, diventa con Certighost la leva per arrivare in poche mosse al controllo totale del dominio. È proprio la scorciatoia verso il domain admin che i gruppi ransomware più attivi contro le PMI e la PA italiane cercano per cifrare l'intera infrastruttura. Questa falla si aggiunge alla mole di correzioni del Patch Tuesday di luglio 2026: un promemoria che applicare le patch sui server di certificazione, spesso trascurati perché "silenziosi", è tanto prioritario quanto aggiornare i sistemi esposti su internet.

Il contesto normativo

Per i soggetti che rientrano nel perimetro NIS2, la compromissione del dominio Active Directory è un incidente potenzialmente significativo: scattano gli obblighi di notifica al CSIRT Italia, con pre-allarme entro 24 ore e notifica entro 72 ore dalla conoscenza dell'evento. Se nell'attacco vengono esfiltrati dati personali — cosa quasi inevitabile in un dominio compromesso — si aggiunge l'obbligo GDPR di valutare la violazione e, in presenza di rischio per gli interessati, di notificarla al Garante entro 72 ore (art. 33) e di informare gli interessati nei casi più gravi (art. 34). Vale la pena ricordare che la gestione dei certificati e delle credenziali rientra a pieno titolo tra le misure di sicurezza "adeguate" richieste dall'art. 32 del GDPR: una PKI mal presidiata è un problema di conformità prima ancora che tecnico.

Cosa fare subito

  • Installare gli aggiornamenti Microsoft del 14 luglio 2026 su tutti gli host che ospitano il ruolo AD CS e le Certification Authority. È la correzione definitiva.
  • Inventariare le CA interne: molte organizzazioni non sanno con precisione quante Enterprise CA hanno attive né su quali server girano.
  • Portare a 0 il parametro ms-DS-MachineAccountQuota: impedire agli utenti standard di creare account computer chiude un prerequisito dell'attacco ed è comunque una buona pratica di hardening.
  • Rivedere i template di certificato e i permessi di enrollment, applicando le raccomandazioni generali di hardening di AD CS.
  • Monitorare l'emissione anomala di certificati, le attività di DCSync e il traffico Netlogon inatteso verso e dalle CA.
  • Solo se l'aggiornamento immediato è impossibile, valutare la mitigazione temporanea (testata dai ricercatori unicamente in laboratorio) che disattiva il chase — certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC seguito dal riavvio del servizio CertSvc — tenendo presente che può interrompere flussi di enrollment legittimi. La patch resta la soluzione da preferire.

La lezione di Certighost è netta: i server di certificazione sono un obiettivo di primissimo valore, perché chi li piega ottiene le chiavi dell'identità aziendale. Con un exploit ormai pubblico, la finestra per aggiornare in tranquillità è già chiusa.