CyberSecurityAction

脆弱性情報 / サイバー攻撃トレンド

「Certighost」PoC 公開——低権限 Active Directory ユーザーがドメインコントローラーを乗っ取れる手法、企業 AD 環境に深刻影響

2026年7月24日、研究者2名が Active Directory の証明書サービス（AD CS）を悪用したPoC「Certighost」を公開。低権限ユーザーからドメイン全体の掌握（DCSync）が可能で、日本の Windows Active Directory 環境に広く影響する。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
「Certighost」PoC 公開——低権限 Active Directory ユーザーがドメインコントローラーを乗っ取れる手法、企業 AD 環境に深刻影響

THREAT GAUGE算出基準

IMPACT（影響範囲）9.0
URGENCY（対応緊急度）9.0
EXPLOIT（悪用の容易さ）8.0

“PoC公開済み・低権限から全ドメイン掌握。スコア暫定。”

01 · Overview

ニュースの概要

2026年7月24日、セキュリティ研究者 H0j3n および Aniq Fakhrul は、Active Directory（AD）環境における証明書サービス（AD CS）の設定不備を利用し、低権限のドメインユーザーがドメインコントローラー（DC）の資格情報を取得して組織全体を掌握できる攻撃手法「Certighost」のワーキングエクスプロイトを公開した。

Certighost は AD CS のテンプレート設定の不備を突き、低権限ユーザーがドメインコントローラーのマシン証明書を取得できる状態を悪用する。取得した証明書を使って Kerberos 認証でドメインコントローラーとして認証されると、ディレクトリレプリケーション権限（DS-Replication-Get-Changes-All）が付与された状態と同等となり、DCSync 攻撃によって krbtgt シークレット（ゴールデンチケット生成に必要なハッシュ）を含む全ドメインの資格情報を窃取できる。

The Hacker News によれば、本攻撃は「ドメイン参加した低権限ユーザーアカウントさえあれば」成立するため、内部脅威（悪意ある内部者）やフィッシングで一般アカウントを乗っ取った攻撃者にとって、AD 全体の掌握への障壁が極めて低くなる。

AD CS はオンプレミスの企業ネットワークで広く使われており、特に大規模な日本企業・官公庁・製造業では Active Directory が基幹インフラとして稼働している。既存の AD CS テンプレート設定を棚卸しし、Certighost に悪用される設定不備がないか確認することが急務である。

攻撃名称
Certighost
必要な権限
低権限ドメインユーザーのみ
攻撃結果
ドメイン全体の完全掌握（DCSync）
PoC公開日
2026年7月24日
影響対象
AD CS を有効化した Active Directory 環境
悪用可能スキル
中級（PoC が動作済み）

The Hacker News の報道および研究者の公開情報に基づく。Microsoft の公式アドバイザリは未公認の可能性あり、調査継続中。

02 · Analysis

詳細な原因解説

Certighost の根本原因は、Active Directory 証明書サービス（AD CS）のテンプレート設定における権限不備にある。具体的には、証明書テンプレートで「サブジェクトの別名（SAN）を要求者が指定できる」設定と「ドメインユーザーが証明書を取得できる」設定が組み合わさった場合、攻撃者はドメインコントローラーの名前を SAN に含む証明書を自己発行できる状態が生じる。

取得した DC の証明書を Kerberos の PKINIT（公開鍵暗号化 Kerberos 初期認証）を通じて提示すると、DC として認証されたセッションが確立される。この権限で DCSync を実行すると、krbtgt のパスワードハッシュを含む AD 内の全アカウントハッシュが取得でき、ゴールデンチケット（永続的な認証トークン）の生成が可能となる。これにより攻撃者は AD 環境全体を恒久的に支配できる。

AD CS の ESC（Escalation Technique）シリーズは 2021 年に研究者 Will Schroeder と Lee Christensen が「Certified Pre-Owned」として体系化して以来、多数の亜種が発見されている。Certighost は既知の ESC8 の変形・改良版とみられるが、低権限ユーザーからの成功率が高い点で新たな脅威と評価されている。

日本企業では AD を長年運用する中で、デフォルト設定から変更されていない脆弱なテンプレートが残存しているケースが多い。ベンダーや SIer が設定した初期構成をそのまま使い続けている組織では、知らず知らずのうちに Certighost の悪用が可能な環境が構築されている可能性がある。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

SCAMPER：Certighost の応用シナリオ

Q. ランサムウェアグループは Certighost をどう「組み合わせる（Combine）」か？

Certighost による DC 掌握はランサムウェア展開の最終ステップとして活用されるシナリオが最も現実的だ。フィッシングメール→一般ユーザーアカウント侵害→Certighost による DC 掌握→全ドメインのゴールデンチケット取得→EDR を含む全エンドポイントへのランサムウェア一括展開、という攻撃チェーンは Cl0p・LockBit 系グループがすでに類似手法を使って実績を積んでいる。Certighost の PoC 公開により、この攻撃チェーンの「AD 掌握」フェーズのハードルが大幅に下がった。

システム思考：AD 証明書インフラの連鎖破綻

Q. krbtgt 漏えいが起きると、組織のどの業務システムが影響を受けるか？

krbtgt ハッシュが漏えいするとゴールデンチケット攻撃が成立し、AD に依存するすべてのサービス（VPN・ファイルサーバー・SharePoint・Salesforce SSO・Microsoft 365 等）に永続的にアクセスできる。この侵害を完全に排除するには、krbtgt の2回リセットに加え、ドメイン内の全サービスアカウントパスワードの変更、および侵害期間中に発行されたセッショントークンの無効化が必要で、大企業では数週間の回復作業が発生する。

Active Directory 証明書サービスを安全に運用するための防衛策

最も効果的な緩和策は AD CS テンプレートの定期監査である。特に「CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT」フラグを持つテンプレートと、一般ユーザーが登録可能なテンプレートの組み合わせは危険信号として即時レビューする。年に1回以上、Certipy や Microsoft の推奨ツールでフルスキャンすることを運用ルールとして定める。

また、AD CS への接続をドメインコントローラーまたは特定の管理セグメントからのみ許可し、一般ユーザーのワークステーションから直接 AD CS にアクセスできない NW 設計を採用することで、Certighost の悪用可能性を大きく低下させることができる。

06 · AI Prompt

AI対策プロンプト

あなたは Active Directory セキュリティの専門家です。[組織名]（[業種]・従業員数[規模]）の AD 環境において、「Certighost」攻撃（AD CS テンプレート設定不備を悪用した低権限ユーザーからの DC 掌握）のリスク評価を行い、即時確認すべき設定項目のチェックリストと、不備が発見された場合の是正手順を、[担当者の役職]が実施できる具体的な手順として作成してください。Certipy を使ったスキャンコマンド例も含めてください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自社または顧客の組織・企業名

組織の業種・属性

従業員数や AD ユーザー数の目安

主な対応者のロール

キーワード

  • Certighost
  • Active Directory
  • AD CS
  • DCSync
  • 特権昇格

SOURCES · 参考情報源