สรุปสั้น

นักวิจัยความปลอดภัยที่ใช้ชื่อ H0j3n และนาย Aniq Fakhrul เผยแพร่ exploit ที่ใช้งานได้จริงเมื่อวันที่ 24 กรกฎาคม โดยเปิดทางให้ผู้ใช้ Active Directory ที่มีสิทธิ์ต่ำสามารถขอใบรับรอง (certificate) ในนาม Domain Controller แล้วยืนยันตัวตนเป็นเครื่องนั้นได้ พวกเขาตั้งชื่อรหัสช่องโหว่นี้ว่า Certighost เนื่องจากบัญชี Domain Controller มีสิทธิ์จำลองข้อมูลไดเรกทอรี (directory replication) ข้อมูลรับรอง Kerberos ที่ได้มาจึงสามารถนำไปดึงความลับ krbtgt ผ่านเทคนิค DCSync ได้ ซึ่งเท่ากับยึดกุญแจหลักของทั้งโดเมน โดย Microsoft ได้แพตช์ช่องโหว่ในบริการ Active Directory Certificate Services (AD CS) นี้ไปก่อนหน้า 10 วันในชื่อ CVE-2026-54121 จัดเป็นช่องโหว่ประเภทการอนุญาตที่ไม่เหมาะสม (improper authorization) และให้คะแนน CVSS 8.8

จุดที่น่ากังวลคือ การโจมตีต้องการเพียงการเข้าถึงเครือข่ายและบัญชีในโดเมนเท่านั้น ไม่ต้องมีสิทธิ์ผู้ดูแลระบบและไม่ต้องอาศัยการโต้ตอบจากผู้ใช้ ในการทดสอบของนักวิจัย บัญชี Domain Users ธรรมดาสามารถสร้างบัญชีเครื่อง (computer account) ภายใต้ค่าเริ่มต้น ms-DS-MachineAccountQuota ที่ตั้งไว้ที่ 10 หรือใช้บัญชีที่ตนควบคุมอยู่แล้วก็ได้ ยิ่งไปกว่านั้น PoC ฉบับเต็มถูกเปิดเผยต่อสาธารณะแล้ว องค์กรที่รัน Enterprise CA จึงควรติดตั้งอัปเดตของ Microsoft ที่ออกเมื่อวันที่ 14 กรกฎาคมบนเครื่อง AD CS โดยด่วน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 24 กรกฎาคม พ.ศ. 2569 ว่า นักวิจัย H0j3n และนาย Aniq Fakhrul ได้เผยแพร่ exploit ที่ใช้งานได้จริงสำหรับช่องโหว่ Certighost ในบริการ AD CS ซึ่งเป็นระบบออกใบรับรองดิจิทัลภายในองค์กรที่ทำงานคู่กับ Active Directory การโจมตีต้องอาศัยองค์ประกอบหลายอย่าง ได้แก่ Enterprise CA ที่เดินตาม chain path ที่มีช่องโหว่ การลงทะเบียนผ่านเทมเพลต Machine ตามค่าเริ่มต้น และการที่ CA สามารถเชื่อมต่อกลับมายัง SMB และ LDAP listener ของผู้โจมตีได้

จนถึงวันที่ 24 กรกฎาคม ยังไม่มีแหล่งข้อมูลหลักที่ The Hacker News ตรวจสอบรายงานว่ามีการโจมตีจริงในวงกว้าง แต่ PoC ฉบับเต็มถูกเปิดเผยแล้ว ซึ่งการที่ยังไม่มีรายงานไม่ได้พิสูจน์ว่าไม่มีการโจมตีเกิดขึ้น นักวิจัยยังบันทึกวิธีปิดกลไก chase fallback ที่ทดสอบในห้องแล็บไว้เผื่อกรณีที่ยังแพตช์ทันทีไม่ได้ แม้ว่าวิธีนี้อาจทำให้ขั้นตอนการลงทะเบียนใบรับรองที่ถูกต้องเสียหายได้

ช่องโหว่นี้อยู่ในกลไก fallback ของการลงทะเบียนใบรับรองใน AD CS ที่เรียกว่า chase เมื่อ CA ไม่สามารถดึงข้อมูลของเอนทิตีปลายทางได้ โปรโตคอลการลงทะเบียนของ Windows จะยอมให้คำร้องขอส่งค่า cdc (ระบุเซิร์ฟเวอร์ Active Directory ที่จะติดต่อ) และ rmd (ระบุออบเจ็กต์เครื่องที่จะ resolve) เข้ามาเอง นักวิจัยพบว่า CA เดินตาม cdc host ที่ผู้ร้องขอส่งมาผ่าน SMB และ LDAP โดยไม่พิสูจน์ก่อนว่าเป็น Domain Controller จริง ทำให้ผู้โจมตีสามารถรันบริการ LSA และ LDAP ปลอม รีเลย์คำท้าทายการยืนยันตัวตนของ CA ไปยัง Domain Controller จริงผ่าน Netlogon แล้วส่งค่า objectSid และ dNSHostName ของ Domain Controller เป้าหมายกลับไป

รายละเอียดช่องโหว่

exploit สาธารณะทำงานแบบอัตโนมัติทั้งสาย โดยเริ่มจากสร้างบัญชีเครื่องหรือใช้บัญชีที่ระบุด้วย –computer-name จากนั้นเปิด listener บนพอร์ต 445 และ 389 แล้วรีเลย์คำท้าทายของ CA ไปยัง Domain Controller จริงผ่าน Netlogon ก่อนจะส่ง attribute cdc และ rmd แล้วเขียนไฟล์ PFX และแคชข้อมูลรับรอง Kerberos ออกมา เครื่องมือนี้ใช้กลไก PKINIT (Public Key Cryptography for Initial Authentication in Kerberos) เพื่อยืนยันตัวตนเป็น Domain Controller เป้าหมาย และข้อมูลรับรองที่ได้สามารถร้องขอความลับของบัญชีผ่าน DCSync รวมถึง krbtgt ซึ่งเป็นบัญชีที่ถือกุญแจของ Kerberos ทั้งโดเมน

จากการวิเคราะห์ไบนารีของนักวิจัยพบว่า อัปเดตเดือนกรกฎาคมของ Microsoft ได้เพิ่มฟังก์ชัน CRequestInstance::_ValidateChaseTargetIsDC เข้าไปใน certpdef.dll ก่อนที่ CA จะเดินตาม chase โดยการตรวจสอบนี้จะปฏิเสธ IP literal, ชื่อที่ยาวเกินไป และอักขระพิเศษของ LDAP อีกทั้งกำหนดให้ต้องมีออบเจ็กต์เครื่องใน Active Directory ที่ตรงกันเพียงหนึ่งเดียว ซึ่งชื่อ DNS ตรงกับเป้าหมายและมี userAccountControl ที่รวมค่า SERVER_TRUST_ACCOUNT (8192) พร้อมการเปรียบเทียบ SID ในภายหลังเพื่อบล็อกการสับเปลี่ยนออบเจ็กต์

exploit สาธารณะถูกทดสอบในฟอเรสต์ Windows Server 2016 หรือใหม่กว่าที่มี Enterprise CA, เทมเพลต Machine เริ่มต้น และค่า machine-account quota เริ่มต้น อย่างไรก็ตาม ข้อมูลใน NVD ระบุแยกว่ากระทบ Windows Server 2012 ไปจนถึง Windows Server 2025 รวมถึง Server Core และยังกระทบ Windows 10 เวอร์ชัน 1607 และ 1809 ด้วย ช่องโหว่นี้ไม่ปรากฏในบัญชี Known Exploited Vulnerabilities (KEV) ของ CISA ณ วันที่ 24 กรกฎาคม โดยนักวิจัยรายงานช่องโหว่ต่อ Microsoft เมื่อ 14 พฤษภาคม Microsoft ยืนยันเมื่อ 22 พฤษภาคม และแพตช์เมื่อ 14 กรกฎาคม ก่อนที่นักวิจัยจะเปิดเผยต่อสาธารณะในวันที่ 24 กรกฎาคม

ผลกระทบต่อไทย

Active Directory เป็นระบบจัดการตัวตนและสิทธิ์ที่องค์กรไทยจำนวนมากใช้เป็นแกนกลาง ทั้งหน่วยงานราชการ สถาบันการเงิน มหาวิทยาลัย และองค์กรเอกชนขนาดกลางถึงใหญ่ ขณะที่ AD CS มักถูกติดตั้งเพื่อออกใบรับรองภายในสำหรับการยืนยันตัวตนและเข้ารหัส ช่องโหว่ที่ยอมให้ผู้ใช้สิทธิ์ต่ำยกระดับตัวเองไปเป็น Domain Controller และดึง krbtgt ได้ ถือเป็นหายนะระดับสูงสุด เพราะเมื่อได้ krbtgt ผู้โจมตีสามารถปลอม Golden Ticket เข้าถึงทุกระบบในโดเมนได้อย่างอิสระและคงอยู่ในระบบระยะยาว การกู้คืนจากการรั่วไหลของ krbtgt นั้นซับซ้อนและต้องรีเซ็ตรหัสสองรอบทั้งโดเมน

ความเสี่ยงยิ่งสูงเพราะการโจมตีต้องการเพียงบัญชีผู้ใช้ธรรมดาในโดเมน ซึ่งหมายความว่าพนักงานที่ไม่หวังดี บัญชีที่ถูกฟิชชิง หรือผู้โจมตีที่เจาะเข้ามาได้แล้วเพียงจุดเดียว ก็สามารถใช้ Certighost ยึดทั้งโดเมนได้ทันที และเมื่อ PoC ถูกเปิดเผยสู่สาธารณะแล้ว โอกาสที่ผู้ไม่หวังดีจะนำไปใช้จริงก็เพิ่มขึ้นมาก องค์กรไทยที่รัน Enterprise CA จึงควรถือเป็นเรื่องเร่งด่วนอันดับต้น

คำแนะนำ

องค์กรที่รัน Enterprise CA ควรติดตั้งอัปเดตของ Microsoft ที่ออกเมื่อวันที่ 14 กรกฎาคมบนเครื่อง AD CS ทุกเครื่องโดยทันที ซึ่งเป็นการแก้ไขถาวรที่แนะนำ หากยังแพตช์ทันทีไม่ได้ นักวิจัยระบุว่าสามารถล้าง chase flag และรีสตาร์ตบริการ Certificate Services ได้ด้วยคำสั่ง certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC ตามด้วย Restart-Service CertSvc -Force แต่ต้องเน้นว่านักวิจัยทดสอบวิธีนี้ในห้องแล็บที่ควบคุมไว้เท่านั้น จึงควรทดสอบใน staging ก่อน และถือว่าอัปเดตเดือนกรกฎาคมเป็นการแก้ไขถาวร นอกจากนี้ควรพิจารณาลดค่า ms-DS-MachineAccountQuota ให้เป็น 0 เพื่อไม่ให้ผู้ใช้ทั่วไปสร้างบัญชีเครื่องได้เอง และเฝ้าติดตามการร้องขอใบรับรองที่ผิดปกติกับกิจกรรม DCSync

แหล่งอ้างอิง