Active Directory Certificate Services（AD CS）に深刻な脆弱性「Certighost」が確認されました。CVSSスコアは8.8で、標準的なドメインユーザー権限さえあれば管理者権限なしにドメインコントローラーを偽装し、最終的にActive Directory全体を掌握できるという内容です。Microsoftは2026年7月14日のPatch Tuesdayで修正済みですが、7月24日にセキュリティ研究者が完全に機能するPoC（概念実証コード）をGitHubで公開したことで、未パッチ環境への攻撃リスクが現実的な脅威へと切り替わりました。
サマリー
- CVE-2026-54121（Certighost）はAD CSの証明書登録チェース機構における不正認可の脆弱性
- CVSSスコア8.8、認証済みの低権限ドメインユーザーが管理者操作なしで悪用可能
- Windows Server 2012〜2025（Server Core含む）、Windows 10の一部バージョンが対象
- 研究者H0j3nとAniq Fakhrul が2026年5月14日にMicrosoftへ報告、7月14日のPatch Tuesdayで修正
- 7月24日にPoC（certighost.py）がGitHubで公開、野生での悪用は未確認（CISA KEV未掲載）
- 即時パッチ適用が最優先。不可能な場合はchaseフラグの無効化による暫定対処が可能
整理表
| 項目 | 内容 |
|---|---|
| 脆弱性名 | Certighost |
| CVE番号 | CVE-2026-54121 |
| CVSSスコア | 8.8（High、不正認可） |
| 影響コンポーネント | Active Directory Certificate Services（AD CS）Enterprise CA |
| 影響OS | Windows Server 2012〜2025（Core含む）、Windows 10 v1607・v1809 |
| 発見者 | H0j3n、Aniq Fakhrul |
| 報告日 | 2026年5月14日 |
| 修正日 | 2026年7月14日（7月Patch Tuesday） |
| PoC公開日 | 2026年7月24日 |
| 野生での悪用 | 未確認（CISA KEV未掲載） |
| 必要な権限 | 認証済みドメインユーザー（管理者不要） |
概要——AD CSの信頼を逆手に取った内部からの権限昇格
Certighost（CVE-2026-54121）は、企業内PKIとして機能するAD CS（Active Directory Certificate Services）に存在する不正認可の脆弱性です。証明書登録プロセスの「チェース」と呼ばれるフォールバック機構において、認証局（CA）がリクエスト側から供給されたサーバーの正当性を検証せずに接続していたことが根本原因です。
ネットワークエンジニア・サーバーサイドエンジニアとしての経験から言えば、このタイプの脆弱性が特に危険なのは、既存の認証フローの「信頼」そのものを武器に変えるからです。ファイアウォールやEDRをすり抜けて、CAが自ら攻撃者の偽装に署名してしまうという構造は、境界防御だけでは防げません。
AD CSのチェース機構と脆弱性の仕組み
AD CSが証明書登録リクエストを処理する際、特定の条件下で「チェース」と呼ばれるフォールバック動作が発生します。このプロセスでは次の2つのパラメータが使われます。
cdc（Client DC）はCAが問い合わせるべきサーバーを指定し、rmd（Remote Domain）はCAが検索すべきアカウントを指定します。両パラメータが揃っていた場合、CAはcdcで指定されたサーバーへSMBおよびLDAPで接続し、rmdで指定されたアカウントを検索してディレクトリ情報を取得します。
問題は、修正前のCAがcdc値で指定されたサーバーを正規のドメインコントローラーかどうか検証していなかった点です。攻撃者はここに任意のホストを指定でき、偽のSMB・LSA・LDAPサービスを立て、CAが「正規のディレクトリ情報」として信頼するレスポンスを返すことができました。
攻撃の流れ——低権限ユーザーがドメイン全体を掌握するまで
研究者が実証した攻撃シナリオは5段階で構成されています。
まず攻撃者は、Windowsドメインのデフォルト設定（ms-DS-MachineAccountQuota）を利用して自らマシンアカウントを作成します。一般ユーザーでもマシンアカウントを作成できるデフォルト設定が悪用の足がかりとなります。
次に、攻撃者が管理する偽のSMB・LSA・LDAPサービスを自マシン上で起動し、cdcパラメータにこの偽サーバーのアドレスを、rmdパラメータに標的のドメインコントローラーのアカウント名を指定した証明書リクエストをCAへ送信します。
CAは指定されたアドレス（攻撃者のマシン）へ接続し、偽サービスから返ってきたディレクトリ情報を正規のものとして信頼します。結果として、ドメインコントローラーとして認証できる証明書がCAから発行されます。
この証明書をPKINITで使用してドメインコントローラーとして認証し、KerberosクレデンシャルをCacheファイルに保存、NTハッシュを抽出します。このステップをPoC（certighost.py）が自動化します。
最後にImpacketのsecretsdumpツールを使ってDCSyncを実行し、krbtgtアカウントの認証情報を取得します。krbtgtを取得した時点でGolden Ticketの生成が可能となり、Active Directoryフォレスト全体への永続的なアクセスが確立されます。
この攻撃が成立するためにユーザーの操作は一切不要で、ネットワーク上でCAと攻撃者のマシンがSMBおよびLDPで通信できる環境であれば実行可能です。
Microsoftの修正内容
Microsoftは2026年7月のPatch Tuesday（570件の脆弱性を修正）の一環としてCVE-2026-54121を修正しました。修正はcertpdef.dllへの新たな検証ルーチンの追加によって実施されています。
パッチ適用後のバイナリを解析した研究者によると、CRequestInstance::_ValidateChaseTargetIsDCという新しい検証関数が追加されており、cdcで指定されたターゲットがActive Directory上の正規ドメインコントローラー（SERVER_TRUST_ACCOUNTフラグを持つアカウント）であることを確認してから処理を続行する実装になっています。返されたアカウントのIDが想定するアカウントと一致することも確認されます。
対応優先度と暫定対処
現時点では野生での悪用は確認されておらず、CISA KEVカタログへの掲載もありません。しかし完全に機能するPoCがすでにGitHubで公開されており、Enterprise CAを運用している組織にとってパッチ適用は緊急の優先事項です。
即時対応として、AD CSサーバーへ2026年7月セキュリティアップデートを適用することが最優先です。AD CSの設定上の問題を利用した権限昇格手法はCertifed Pre-Owned以降多数報告されてきましたが、今回はテンプレート設定の問題ではなくCA自体の動作に起因するものであり、テンプレートの厳格化だけでは防御できない点に注意が必要です。
7月セキュリティアップデートをすぐに適用できない環境向けに、研究者は次のコマンドによるチェースフォールバックの無効化を暫定対処として提示しています。
certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC
Restart-Service CertSvc -Force
ただし研究者はこの回避策について「本番環境での十分な検証は行われていない」と明記しており、あくまで一時的な処置として位置づけています。パッチの適用を最優先で進める必要があります。
あわせて、CAサーバーからの証明書発行ログの監視を強化し、通常のドメインコントローラー以外を宛先とするチェース試行の痕跡を検知できるよう、SIEMのルールを見直すことも推奨します。PSPKIAuditなどのツールを活用したPKIインフラの定期監査も、継続的な防御策として有効です。
出典
- New Certighost PoC exploit lets attackers hijack Windows domains——BleepingComputer（2026年7月27日）
- Certighost Technical Writeup——H0j3n / Aniq Fakhrul（GitHub Gist、2026年7月24日）
- certighost.py PoC——aniqfakhrul（GitHub、2026年7月24日）
- CVE-2026-54121——Microsoft Security Response Center
- PoC exploit released for critical AD CS domain-takeover flaw——Help Net Security（2026年7月27日）
関連記事
Jenkinsの複数プラグインに脆弱性(CVE-2026-48920,CVE-2026-48921,CVE-2026-48922)
Microsoft、2026年7月定例パッチで史上最多569件の脆弱性を修正-AD FSとSharePointの2件がゼロデイ攻撃で悪用済み(CVE-2026-56155, CVE-2026-56164)
Google、Chromeの脆弱性 12件を修正(CVE-2026-16420、CVE-2026-16421)他
Sambaに2件の致命的な脆弱性-CVE-2026-4408とCVE-2026-4480
CISA、SharePoint Serverの脆弱性 CVE-2026-45659をサイバー攻撃への悪用実績ありとしてKEVに追加
旭化成セラピューティクスとシミックヘルスケア・インスティテュート、不正アクセスで患者サポートプログラム「RAコネクト」で個人情報漏洩
Linux カーネルの act_pedit モジュールに脆弱性(CVE-2026-46331)-RHEL・Debian・Ubuntu 全バージョンに影響
CISA、SharePointの積極的な悪用が続く脆弱性への緊急パッチ適用を要請(CVE-2026-56164)
Windows ゼロデ イ 脆弱性「MiniPlasma」-2020年に「修正済み」のCVE-2020-17103が実は未修正
