Un Enterprise CA non dovrebbe mai diventare il punto da cui nasce l’identità di un Domain Controller. Qui invece un account di dominio standard può fargli firmare un certificato che attesta di essere un DC, e a quel punto il confine di fiducia di Active Directory crolla fino al Tier 0.
La falla in Microsoft Active Directory Certificate Services, tracciata come CVE-2026-54121, è stata corretta il 14 luglio 2026. Il comportamento difettoso consente alla CA di accettare risposte da un endpoint controllato dall’attaccante come se fossero informazioni valide del controller di dominio, e di legarle a un certificato X.509 attendibile. Con quel certificato, l’attaccante può poi presentarsi come il DC nel flusso di autenticazione e aprire la strada a un controllo di dominio.
Per chi usa AD CS come parte dell’identità interna, il problema non è un bug locale ma una fiducia mal riposta nella CA stessa. Se una CA Enterprise può essere indotta a mintare credenziali per un DC, la compromissione non resta circoscritta al prodotto: tocca l’autenticazione dell’intero dominio.