Dois investigadores de segurança publicaram um exploit funcional que abusa de uma vulnerabilidade nos Serviços de Certificados do Active Directory (AD CS) da Microsoft, permitindo que uma conta de domínio com privilégios reduzidos obtenha um certificado em nome de um controlador de domínio e se autentique como essa máquina. A falha, apelidada de «Certighost» pelos autores, corresponde ao CVE-2026-54121 e foi corrigida pela Microsoft na atualização de segurança de 14 de julho de 2026. Quem gere infraestrutura Windows empresarial com uma Autoridade de Certificação deve tratar a aplicação do patch como prioridade máxima.
Resposta rápida: O «Certighost» (CVE-2026-54121, CVSS 8.8) é uma falha de autorização indevida no AD CS que permite a um utilizador de domínio comum, sem direitos de administrador nem interação de outros, escalar até comprometer o domínio. A Microsoft corrigiu-a a 14 de julho de 2026 e os investigadores divulgaram o exploit a 24 de julho. Aplique de imediato a atualização de julho em todos os servidores com o papel de Autoridade de Certificação.
O que é o «Certighost»
De acordo com o relato dos investigadores, os investigadores H0j3n e Aniq Fakhrul publicaram a 24 de julho um exploit funcional que permite a um utilizador do Active Directory com poucos privilégios obter um certificado de um controlador de domínio e autenticar-se como essa máquina. Deram à falha o nome de código «Certighost». O impacto é severo porque como as contas de controlador de domínio têm direitos de replicação de diretório, a credencial Kerberos resultante permite obter o segredo krbtgt através de DCSync. Na prática, isto abre caminho ao comprometimento total do domínio.
A Microsoft categorizou o problema de forma consistente entre os vários fornecedores de análise. O CVE-2026-54121 é uma vulnerabilidade crítica de elevação de privilégios que afeta os Serviços de Certificados do Active Directory e tem uma pontuação CVSS de 8.8; uma falha de autorização indevida (CWE-285) permite que um atacante remoto com poucos privilégios escale a privilégios de administrador sem interação do utilizador e com baixa complexidade de ataque. Segundo a mesma análise, a exploração bem-sucedida poderia permitir a um atacante abusar do processo de inscrição de certificados para se autenticar como uma conta de domínio de elevado valor, potencialmente incluindo controladores de domínio, viabilizando operações privilegiadas no Active Directory.
Como funciona o ataque
A raiz do problema está num mecanismo de recurso da inscrição de certificados. O bug reside num mecanismo de fallback de inscrição do AD CS conhecido como «chase»: quando uma Autoridade de Certificação (CA) não consegue obter a informação de uma entidade final, o protocolo de inscrição do Windows permite que um pedido forneça o atributo cdc, o servidor do Active Directory a contactar, e o rmd, o objeto de máquina a resolver. O ponto fraco reside na confiança colocada nesses valores fornecidos pelo requerente. Os investigadores descobriram que a CA seguia o host cdc indicado pelo requerente através de SMB e LDAP sem primeiro provar que se tratava de um verdadeiro controlador de domínio.
A partir daqui, o atacante monta serviços falsos para responder à CA. Um atacante poderia executar serviços LSA e LDAP maliciosos, retransmitir o desafio de autenticação da CA para o verdadeiro controlador de domínio através de Netlogon e devolver o objectSid e o dNSHostName do controlador de domínio-alvo. O cenário testado no exploit público reflete uma configuração comum e por omissão: na experiência dos investigadores, uma conta normal de Domain Users conseguia criar uma conta de computador ao abrigo do valor por omissão do ms-DS-MachineAccountQuota de 10, ou reutilizar uma que já controlasse.
O ambiente de teste ajuda a perceber quem está exposto. O exploit público foi testado numa floresta Windows Server 2016 ou posterior com uma Enterprise CA, o modelo de certificado Machine por omissão e a quota de conta de máquina por omissão. Vale a pena notar uma condição técnica adicional: requer exatamente um objeto de computador do Active Directory cujo nome DNS corresponda ao alvo e cujo userAccountControl inclua SERVER_TRUST_ACCOUNT (8192).
Versões afetadas
A superfície de exposição abrange praticamente todas as versões de servidor suportadas com o papel de AD CS. A falha está presente em todas as edições de Windows Server suportadas com o AD CS instalado — Windows Server 2012 R2, 2016, 2019, 2022 e o mais recente Windows Server 2025 — e algumas versões de cliente Windows 10 (1607 e 1809) surgem também listadas por partilharem código subjacente, embora o risco prático só surja quando essas máquinas executam o papel de Autoridade de Certificação ou serviços relacionados. O registo na NVD é ainda mais abrangente: lista separadamente o Windows Server 2012 até ao Windows Server 2025, incluindo as edições Server Core listadas, como afetados, e lista também as versões 1607 e 1809 do Windows 10.
Cronologia da divulgação
| Data | Acontecimento |
|---|---|
| 14 de maio de 2026 | Os investigadores reportam a falha à Microsoft |
| 22 de maio de 2026 | A Microsoft confirma a vulnerabilidade |
| 14 de julho de 2026 | A Microsoft lança o patch (Patch Tuesday de julho) |
| 24 de julho de 2026 | Divulgação pública do exploit funcional |
A sequência é confirmada pelo relato dos investigadores: reportaram a falha à Microsoft a 14 de maio, a Microsoft confirmou-a a 22 de maio e corrigiu-a a 14 de julho. A divulgação pública ocorreu dez dias após a correção, com a Microsoft a resolver a questão do AD CS como CVE-2026-54121, dez dias antes da divulgação. Importa manter a proporção quanto à exploração ativa: a falha estava ausente do catálogo Known Exploited Vulnerabilities da CISA a 24 de julho. Ainda assim, os autores sublinham que essa ausência de relatos não prova que a exploração não tenha ocorrido.
Mitigação: patch primeiro, contorno com cuidado
A recomendação central é aplicar a atualização de segurança de julho. Como referiu uma análise técnica, é essencial corrigir de imediato todos os servidores de autoridade de certificação, uma vez que a falha é explorável através da rede e afeta todas as versões suportadas de Windows Server. Para quem não consegue aplicar o patch de imediato, existe um contorno documentado — mas com ressalvas importantes.
Os investigadores documentaram uma forma de desativar o mecanismo vulnerável. Documentaram uma forma testada em laboratório de desativar o fallback «chase» quando a aplicação imediata do patch não é possível, embora isso possa quebrar fluxos legítimos de inscrição. Concretamente, os administradores que não conseguem aplicar o patch de imediato podem limpar a flag «chase» e reiniciar os Serviços de Certificados através do comando certutil que ajusta a chave de registo EditFlags para remover EDITF_ENABLECHASECLIENTDC. A prudência é obrigatória: os investigadores testaram essa mitigação apenas num laboratório controlado e recomendam encená-la primeiro e tratar a atualização de julho como a correção permanente.
- Aplicar a atualização de segurança da Microsoft de 14 de julho de 2026 em todos os servidores com o papel de AD CS.
- Rever e, sempre que possível, reduzir o atributo
ms-DS-MachineAccountQuotapara limitar a criação de contas de máquina por utilizadores comuns. - Auditar os modelos de certificado, os direitos de inscrição e os registos de emissão da CA à procura de pedidos anómalos.
- Encenar qualquer contorno num ambiente de teste antes de o aplicar em produção, dado o risco de quebrar inscrições legítimas.
Porque é que isto importa em Portugal
O Active Directory e o AD CS estão no coração da identidade de inúmeras organizações portuguesas — desde autarquias e universidades a hospitais e PME com domínios Windows. Uma falha que permite passar de uma conta comum ao controlo total do domínio é exatamente o tipo de vetor que grupos de ransomware e atores patrocinados por Estados procuram para movimentação lateral e persistência. O AD CS tem, aliás, um historial de abuso conhecido desde a investigação «Certified Pre-Owned», o que torna a superfície de PKI um alvo maduro.
Do ponto de vista regulatório, a gestão desta vulnerabilidade encaixa diretamente nas obrigações de gestão de vulnerabilidades e de resposta a incidentes previstas no novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para Portugal). Entidades essenciais e importantes devem manter processos de aplicação atempada de correções e de notificação de incidentes ao CNCS/CERT.PT quando aplicável. Um comprometimento de domínio deste tipo pode ainda implicar acesso indevido a dados pessoais, ativando as obrigações de notificação de violações de dados à CNPD ao abrigo do RGPD. Manter o AD CS atualizado e auditado é, por isso, tanto uma questão técnica como de conformidade.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft, pelos investigadores H0j3n e Aniq Fakhrul e por análises da Cisco Talos, CrowdStrike, Tenable e Zero Day Initiative.