A Microsoft disponibilizou atualizações de segurança para corrigir a CVE-2026-54121, uma falha de gravidade alta no Active Directory Certificate Services (ADCS). Batizada de Certighost, a vulnerabilidade permitia que um utilizador com acessos básicos manipulasse o sistema de cadastro e obtivesse um certificado válido em nome de um Controlador de Domínio, assumindo a gestão absoluta de uma rede Windows.
O mecanismo por trás do sequestro de diretórios
A origem do problema estava num recurso de contingência do sistema denominado chase. Quando a Autoridade Certificadora (CA) não encontrava a identidade do solicitante, consultava um servidor secundário indicado no próprio pedido, sem acionar mecanismos para confirmar a legitimidade desse endereço. Os invasores exploravam esta lacuna para apontar o sistema para servidores que controlavam e introduzir dados forjados, forçando a infraestrutura a emitir um certificado autêntico com a identidade de um Controlador de Domínio.
Jason Soroko, investigador sénior da Sectigo, esclareceu que a criptografia não apresentou qualquer anomalia, uma vez que a Autoridade Certificadora assinou o documento de forma correta. O erro aconteceu no momento em que o sistema aceitou informações de diretório falsas como prova de identidade válida. Na posse do certificado fraudulento, o atacante conseguia autenticar-se na rede corporativa e usar ferramentas de extração para roubar credenciais e chaves mestras de todos os utilizadores.
A falha foi detetada e reportada em maio de 2026 pelos investigadores H0j3n e Aniq Fakhrul, que documentaram a capacidade destrutiva da vulnerabilidade. "Uma conta de Controlador de Domínio possui direitos de replicação de diretório. Com a credencial resultante, o invasor pode solicitar segredos da conta, incluindo o segredo krbtgt", detalharam os especialistas.
Risco elevado com código público
Dez dias após o lançamento do pacote de correção da tecnológica, disponibilizado a 14 de julho, a mesma dupla publicou os detalhes técnicos do problema e o código de demonstração da exploração (PoC). Com um exploit agora disponível ao público, a equipa de Inteligência de Ameaças da empresa reforçou o alerta na segunda-feira, dia 27, emitindo orientações extra de monitorização para as equipas de TI.
A tecnológica confirmou os riscos da falha e sublinhou que, até ao momento, não identificou ataques ativos nos seus ambientes. "A publicação do código de prova de conceito aumenta a probabilidade de tentativas de exploração, por isso recomendamos que os clientes priorizem a instalação da atualização de segurança o mais rápido possível", declarou a empresa.
A mais recente atualização encerrou a vulnerabilidade ao adicionar um processo rigoroso de verificação prévia no Active Directory, desenhado para confirmar a autenticidade do servidor antes da emissão de qualquer certificado. A recomendação técnica mantém-se na aplicação urgente da correção em todos os servidores com a Autoridade Certificadora Corporativa ativada.
Nenhum comentário
Seja o primeiro!