"Certighost" açığı: Active Directory'de düşük yetkili kullanıcı Domain Controller'ı taklit edebiliyordu

Güvenlik araştırmacıları H0j3n ve Aniq Fakhrul, 24 Temmuz 2026’da Active Directory Sertifika Servisleri’nde (AD CS) düşük yetkili bir kullanıcının bir Domain Controller (DC) sertifikası alarak o makineymiş gibi kimlik doğrulayabildiği, Certighost adını verdikleri çalışan bir exploit kodu yayınladı.

Açığın mekanizması

CVE-2026-54121 (CVSS 8.8) olarak izlenen açık, AD CS’in sertifika kaydı sırasında istemcinin belirttiği “hangi Domain Controller’a sorulacağı” bilgisini (cdc), bunun gerçekten bir Domain Controller olduğunu doğrulamadan SMB/LDAP üzerinden takip etmesinden kaynaklanıyor. Elde edilen sahte DC kimlik bilgisiyle saldırgan, DCSync tekniği üzerinden krbtgt hesabı dahil olmak üzere kritik Active Directory sırlarını çekebiliyor — bu da pratikte tüm domain’in ele geçirilmesi anlamına geliyor.

Yama zaten mevcut

Microsoft, açığı 14 Temmuz 2026 güvenlik güncellemesinde çoktan kapatmıştı — certpdef.dll bileşenine hedef-DC doğrulaması eklenerek. 24 Temmuz’daki gelişme yeni bir açık değil, on gün önce yamalanmış bir açığın kamuya açık, çalışan exploit kodunun yayınlanmasıdır.

Neden önemli

Güvenlik camiasında sık görülen bir kalıp: bir açık yamalandığında aciliyet “düşük” olarak algılanabiliyor, ama kamuya açık çalışan bir exploit yayınlandığı anda, yamayı henüz uygulamamış tüm kurumsal ortamlar aktif hedefe dönüşüyor. Active Directory kullanan kurumlar için bu, yama takvimini gecikmeden tamamlamanın ne kadar kritik olduğunu bir kez daha gösteriyor.