מהמשתמש הכי פשוט ועד Domain Admin ב-3 דקות: איך CertiGhost (CVE-2026-54121) הופך תעודה אחת להשתלטות מלאה

יש שבתות עם חום קיצוני שבהן ממש לא בא לך לצאת מהבית. אז במקום זה ישבנו על CertiGhost — חולשה (CVE-2026-54121) שמאפשרת למשתמש הכי פשוט בארגון, בלי שום הרשאות מנהל, להגיע לשליטה מלאה על ה-Domain Controller תוך שלוש דקות ובשלושה צעדים. לא באג אקזוטי, לא מזל: פשוט ניצול של הגדרות ברירת מחדל שיושבות אצל רוב הארגונים בישראל ממש עכשיו.

ואם אתם עכשיו אומרים לעצמכם 'אצלנו זה לא יקרה, אנחנו מוגנים' — בואו נעשה בדיקה מהירה.

אז אתם בטוחים שאתם מוגנים?

• ▸יש GPO נוקשה שחוסם הרצת CMD ו-PowerShell למשתמשי קצה
• ▸יש מערכת מסודרת שמנהלת את ה-CA הארגוני
• ▸יש פיירוול שעושה סגמנטציה בין הרשתות
• ▸יש EDR/AV מעודכן על כל תחנה

כל אלה מצוינים — ואף אחד מהם לא עוצר את המתקפה הזו. אין כאן סקריפט זדוני שמישהו צריך להריץ, אין כאן קובץ להוריד ואין כאן חתימה לזהות. מגיע עובד פשוט, עם חשבון בסיסי לגמרי, ותוך כמה דקות הוא סוגר לכם את השלטר. החלק המפחיד הוא שהתקיפה מנצלת בדיוק את ההגדרות הכי out-of-the-box של Active Directory.

שלב 1: פותחים מחשב לבד

בגלל ברירת המחדל של Windows, לכל משתמש רגיל בדומיין יש מכסה שנקראת ms-DS-MachineAccountQuota, והיא מאפשרת לו לחבר בעצמו עד 10 מחשבים לדומיין. כן, לבד. בלי לשאול אף אחד. התוקף פשוט מייצר לעצמו אובייקט מחשב חדש — וברגע הזה יש לו זהות לגיטימית בתוך ה-AD, עם סיסמה שהוא בעצמו קבע.

שלב 2: מבקשים תעודה — ודוחפים SAN

עכשיו הוא הולך אל ה-CA הארגוני (או אל מערכת הניהול שמתווכת אליו) ומבקש תעודת אימות. הקטע הוא שהוא דוחף בבקשה שדה SAN (Subject Alternative Name) שמכיל את השם של ה-Domain Controller הארגוני. בגלל פרצה בתבניות ההנפקה, המערכת בולעת את זה בלי למצמץ ומאשרת לו תעודה חתומה שאומרת, למעשה: 'הנושא של התעודה הזו הוא ה-DC'.

שלב 3: נכנסים דרך קרברוס (PKINIT)

עם התעודה החוקית ביד הוא ניגש לשרת ההזדהות דרך PKINIT ומציג את עצמו כשרת המרכזי. שרת הקרברוס בודק את החתימה, רואה תעודה חוקית לחלוטין, ומנפיק לו טיקט. משם הדרך קצרה: פקודת DCSync קטנה ופשוטה — ושואבים את כל בסיס הנתונים של ה-AD, כולל הסיסמאות המוצפנות של כולם. משחק נגמר.

מה שקורה אחרי זה כבר תלוי רק בהחלטת התוקף: החלפת סיסמאות, ניתוק צוותים מהארגון, התחברות למוצרים ולשירותים, השבתת שירותים, גניבת נתונים או הצפנה מלאה של הסביבה.

הקטע המצחיק-עצוב הוא שכל ההגנות הסטנדרטיות פשוט לא רואות את זה ממטר. חסימת CMD בעמדות? התוקף בכלל יכול לחבר מחשב חיצוני או לפעול ברמת הפרוטוקול בלי לגעת במסך של העובד.

Action Items — מה עושים כבר עכשיו

• ▸סוגרים את המכסה: מאפסים את ms-DS-MachineAccountQuota ל-0. פשוט ככה. שאף אחד לא יוכל לפתוח מחשבים לבד על דעת עצמו.
• ▸מנקים תבניות הנפקה (Templates): עוברים על כל תבניות ה-CA בארגון ומוודאים שאי אפשר להזריק SAN שרירותי בבקשות של משתמשים רגילים.
• ▸סוגרים פורטים ומיקרו-סגמנטציה: תחנות עבודה לא צריכות לדבר בחופשיות עם שרתי הליבה וה-CA. ניהול רק דרך Jump Servers או PAM.
• ▸ניטור ב-SOC: התראה בזמן אמת כשמשתמש רגיל פותח אובייקט מחשב חדש (Event ID 4741), או כשמופיעות בקשות PKINIT חשודות שמזדהות כ-DC.
• ▸בדיקת לוגים של ה-CA: מחפשים בקשות הנפקה שבהן שדה ה-SAN לא תואם למשתמש, או מכיל שמות של שרתי תשתית רגישים.

השורה התחתונה

אבטחת מידע היא לא לישון טוב בלילה בידיעה שאתה מוגן — אלא תהליך מתמשך של בדיקה, הקשחה וניטור. מי שמבין איך תוקף חושב, יודע גם איפה להסתכל לפני שמישהו אחר מסתכל שם קודם.

וזה בדיוק מה שאנחנו מלמדים בחבילת Cyber Defense & Network Architecture של NetMe College: Ethical Hacking (איך התוקף עובד באמת), InfoSec (הקשחה, PKI, DLP, CyberArk), Check Point (מדיניות, סגמנטציה ופיירוול) ו-Linux — ארבעה קורסים שמרכיבים יחד איש סייבר שלם, לא רק מישהו שמכיר כלי אחד. הקורסים בעברית, עם גישה לכל החיים ומעבדות מעשיות.

בדקתם אצלכם את העניין הזה כבר? אם לא — זה הזמן להתחיל ללמוד את הצד השני של המתרס.