Un utente normale può impersonare un Domain Controller
Il punto debole non è il certificato in sé, ma la fiducia che AD CS concede durante la verifica dell’identità. Un utente di dominio senza privilegi può forzare il flusso di enrollment fino a ottenere un certificate da Domain Controller, e da lì arrivare a DCSync con accesso ai segreti di replica dell’intero dominio.
Un exploit funzionante per CVE-2026-54121 è stato pubblicato il 24 luglio. Microsoft aveva già corretto la falla il 14 luglio; il problema riguarda Enterprise CA su AD CS, con configurazioni di default come ms-DS-MachineAccountQuota e il template macchina predefinito, e non richiede privilegi di amministratore né interazione dell’utente.
La correzione del solo servizio CA non basta se il dominio resta esposto a questo tipo di catena: una credenziale a basso privilegio può diventare un’identità macchina ad altissima fiducia. Per gli ambienti AD e PKI, il rischio è una escalation di privilegio che attraversa tutta la foresta, non un guasto locale al servizio certificati.