Ce que ça change pour une PME

  • La faille ne concerne que les entreprises qui gèrent leur propre Active Directory, avec une autorité de certification (AD CS) installée. Sans AD CS, ce sujet ne vous concerne pas.
  • Si vous en avez un : le correctif du 14 juillet 2026 existe déjà. La question n'est plus s'il faut l'installer, mais si c'est déjà fait — un exploit fonctionnel circule publiquement depuis le 24 juillet.
  • Aucune exploitation active n'est signalée à ce jour, mais la faille ne demande ni compte administrateur ni interaction d'un utilisateur : un compte de domaine ordinaire, déjà compromis ou détourné, suffit.

Le 14 juillet, Microsoft a publié le plus gros correctif mensuel de son histoire : 570 failles corrigées d'un coup, selon le décompte de Krebs on Security. Parmi elles, une qui n'a rien fait de bruit sur le moment : CVE-2026-54121, dans les services de certificats Active Directory (AD CS). Le 24 juillet, deux chercheurs, H0j3n et Aniq Fakhrul, ont publié un exploit fonctionnel. Ils l'ont appelé Certighost.

Ce que Certighost démontre : un compte utilisateur ordinaire, sans le moindre privilège d'administrateur, peut obtenir un certificat qui l'authentifie comme s'il était un contrôleur de domaine.

Le mécanisme

D'après l'analyse d'IT-Connect et de The Hacker News, la faille vient de la façon dont l'autorité de certification vérifie une identité avant de délivrer un certificat. Elle fait confiance à l'hôte déclaré dans le champ cdc de la requête, sans vérifier qu'il s'agit réellement d'un contrôleur légitime.

Un attaquant qui contrôle un compte utilisateur standard peut créer un compte machine — le quota par défaut, ms-DS-MachineAccountQuota, en autorise dix par utilisateur — ou en réutiliser un existant. Il monte ensuite ses propres services SMB, LDAP et LSA, et se sert de ce compte machine pour interroger l'autorité de certification en se faisant passer pour un contrôleur de domaine légitime, en fournissant son SID et son nom DNS réel. L'autorité délivre le certificat.

Le certificat obtenu ouvre l'accès à des droits que seuls les contrôleurs de domaine possèdent normalement, dont la réplication d'annuaire. Un attaquant qui l'obtient peut s'en servir pour récupérer le secret krbtgt via une opération de type DCSync — la clé qui sert à signer tous les tickets Kerberos du domaine, et donc un chemin vers la compromission complète de l'annuaire.

Ce qui est confirmé, ce qui ne l'est pas

Le CVSS de CVE-2026-54121 est de 8.8. L'exploitation ne demande ni droits d'administrateur ni interaction d'un utilisateur : un accès réseau et un compte de domaine valide suffisent, à condition que l'environnement utilise une autorité de certification d'entreprise intégrée à Active Directory avec le modèle de certificat machine par défaut.

Aucune exploitation active n'est signalée à ce jour, selon Field Effect. Seul l'exploit de recherche est public. Ça ne change rien à l'urgence : le correctif existe depuis dix jours, l'exploit circule depuis deux, et la fenêtre entre les deux est précisément celle que les attaquants utilisent le plus.

Qui est concerné

Cette faille touche les entreprises qui font tourner leur propre Active Directory sur site, avec une autorité de certification installée. C'est encore une configuration courante dans les PME équipées d'un ou deux serveurs Windows Server, souvent pour l'authentification Wi-Fi, le VPN ou la signature de documents internes.

Si votre infrastructure est entièrement dans Microsoft 365 / Entra ID sans serveur Windows Server sur site, ce sujet ne vous concerne pas : il n'y a pas d'AD CS à corriger.

Ce qu'il faut faire

  1. Vérifiez que vos contrôleurs de domaine et vos autorités de certification ont reçu la mise à jour de sécurité du 14 juillet 2026. Elle corrige la faille à la racine.
  2. Si la mise à jour n'est pas encore déployée, ne tardez pas : un exploit public existe, même sans exploitation confirmée à ce jour.
  3. Vérifiez la valeur de ms-DS-MachineAccountQuota dans votre annuaire. La valeur par défaut, 10, permet à n'importe quel utilisateur de créer des comptes machine ; l'abaisser réduit la surface d'attaque sans casser les usages légitimes dans la plupart des PME.
  4. En attendant le déploiement du correctif, IT-Connect rapporte l'existence d'un contournement temporaire testé en laboratoire, consistant à désactiver le drapeau chase vulnérable via certutil puis à redémarrer le service de certificats. Ce contournement peut perturber des flux d'inscription légitimes : à tester avant de l'appliquer en production, pas à la place du correctif.
  5. Si vous confiez votre infrastructure à un prestataire infogéré, la question à lui poser aujourd'hui est simple : les contrôleurs de domaine et les serveurs AD CS sont-ils à jour du 14 juillet, oui ou non.