Certighost 익스플로잇 분석: 저권한 AD 사용자가 도메인 컨트롤러로 둔갑하는 AD CS 취약점과 대응 가이드

2026년 7월 24일, 보안 연구자 H0j3n과 Aniq Fakhrul은 저권한 Active Directory(AD) 사용자 계정만으로 도메인 컨트롤러(DC) 인증서를 발급받을 수 있는 작동 가능한 익스플로잇 코드를 공개했다. 이 결함은 인증서 기반 인증 신뢰 구조를 우회해 DC 권한을 가장할 수 있게 하며, AD CS를 도입한 기업 환경 전반에 즉각적인 점검과 완화 조치가 필요한 위협으로 평가된다. 본 글은 공개된 자료를 바탕으로 Certighost의 기술적 원리와 기존 AD CS 공격 대비 차이점, 실무 대응 절차를 정리한다.

개요: Certighost 익스플로잇의 등장

공개 일자와 연구자 정보

연구자 H0j3n과 Aniq Fakhrul은 2026년 7월 24일 익스플로잇을 공개했으며, 해당 결함을 Certighost로 명명했다. 공격 대상은 Microsoft Active Directory 환경의 도메인 컨트롤러이며, 인증서 발급 주체는 Active Directory Certificate Services(AD CS)로 분석된다. 공개된 자료에는 일반 도메인 사용자 계정으로도 재현 가능한 단계별 절차가 포함된 것으로 알려진다.

저권한 사용자에서 도메인 컨트롤러 위장까지의 공격 흐름 요약

공격자는 먼저 일반 도메인 사용자 계정으로 AD에 로그인한 뒤 AD CS가 노출하는 인증서 등록 엔드포인트에 접근한다. 이후 인증서 템플릿 등록 권한 검증 미흡을 악용해 DC의 신원을 주장하는 인증서 요청을 제출하고, 발급된 인증서를 활용해 도메인 컨트롤러로 인증한다. 이 과정이 성공하면 Kerberos(케르베로스) 티켓 위조나 NTLM(NT LAN Manager) 패스-the-해시 공격 등 후속 권한 상승 단계로 자연스럽게 이어질 수 있다.

기술적 분석: AD CS 인증서 발급 흐름의 결함

인증서 템플릿과 등록 권한의 검증 미흡 지점

AD CS는 인증서 템플릿 기반으로 인증서를 발급하며, 템플릿에는 등록 권한(enroll rights), EKU(Extended Key Usage, 확장 키 용도), 공급자(Provider) 등 발급 조건이 정의된다. 일반적으로 DC 인증서 템플릿은 Domain Controllers 또는 Enterprise Domain Controllers 보안 그룹에 등록 권한이 한정되어야 하지만, Certighost는 특정 템플릿 설정 조합에서 이러한 권한 검사가 충분히 이뤄지지 않는 경로를 이용하는 것으로 분석된다. 그 결과 저권한 사용자도 DC 템플릿에 접근해 SAN(Subject Alternative Name)에 DC 호스트명을 삽입하는 식으로 DC를 사칭한 인증서를 발급받을 수 있는 것으로 분석된다.

인증서 기반 인증 신뢰 구조 우회 원리

Windows 환경은 도메인 내 AD CS 신뢰 루트 인증서를 PKINIT(Public Key Cryptography for Initial Authentication)이나 인증서 기반 NTLM에 활용해 사용자를 인증한다. 즉, 특정 인증서가 DC의 프라이빗 키에 대응하는 공개키로 서명돼 있고 SAN이 DC의 DNS 이름과 일치하면, KDC(Key Distribution Center)는 해당 인증서를 DC의 신원 증명으로 수용한다. Certighost는 이 신뢰 구조 자체의 결함이 아니라, 신뢰 구조가 의존하는 인증서 발급 단계의 권한 검증 미흡을 이용한다는 점에서 공격 표면이 매우 넓다고 평가된다.

기존 AD CS 공격(ESC 계열)과의 비교

AD CS를 악용한 권한 상승 시나리오는 Specter Ops 팀이 정리한 ESC(Enterprise Security Certification) 1~8로 분류된다. 다음 표는 Certighost와 기존 ESC 계열의 진입 권한 차이를 요약한 것이다.

항목	ESC 계열 (전형적)	Certighost
필요한 최소 권한	주로 도메인 사용자 이상 + 특정 템플릿 권한	일반 도메인 사용자(저권한)
악용 지점	템플릿 권한, SAN 편집, EKU 오용 등 다양	DC 템플릿으로의 등록 권한 검증 미흡
결과 권한	도메인 관리자 또는 DA 등가	DC 자격 증명(도메인 장악)
재현 난이도	구성에 따라 상이	낮음(공식 익스플로잇 코드 공개)

진입 장벽과 권한 수준 차이

ESC1과 ESC6처럼 SAN에 임의 값을 넣을 수 있는 템플릿을 악용하는 기존 공격은, 일반적으로 도메인 사용자보다 한 단계 위 권한(예: 인증서 관리자, 특정 보안 그룹) 또는 명시적인 등록 권한이 필요한 경우가 많았다. 반면 Certighost는 일반 도메인 사용자 권한만으로 DC 템플릿 발급까지 도달할 수 있어, AD CS를 운영하는 기업에서는 외부 침해 초기 단계의 계정도 곧장 DC 권한으로 승격될 위험이 있다고 판단된다.

공격 재현 가능성과 피해 범위

공개된 익스플로잇은 일반 도메인 사용자 자격 증명만으로 재현 가능하다고 알려진다. 이는 피싱, 자격 증명 유출 등으로 확보한 1차 계정으로도 도메인 장악이 가능하다는 의미이며, 피해 범위는 AD CS 신뢰를 공유하는 모든 포리스트로 확장될 수 있다. 단, 실제 공격 성공 여부는 기업의 AD CS 템플릿 설정, 등록 권한 위임 상태, 인증서 발급 정책에 따라 달라진다는 점은 유의해야 한다.

기업 AD 환경의 점검 및 완화 가이드

인증서 템플릿, EKU, 등록 권한 감사 항목

• DC 관련 템플릿(Domain Controller Authentication, DomainController 등)의 등록 권한이 Domain Controllers 그룹 외에는 부여되어 있지 않은지 점검한다.
• 템플릿에서 ENROLLEE_SUPPLIES_SUBJECT 또는 SAN 편집 옵션이 비활성화돼 있는지 확인하고, 활성화된 경우 EKU와 권한 조합을 검토한다.
• CA(인증 기관) 수준에서 인증서 요청 감사 로그가 활성화돼 있는지, 발급 이벤트가 SIEM(보안 정보 및 이벤트 관리)으로 수집되는지 검증한다.
• Certify, AD CS Exploitation, BloodyAD 등 공개 감사 도구로 ESC1~ESC8 점검을 수행하고, 추가로 DC 템플릿 대상 시나리오를 포함해 본다.

단기 완화 및 중장기 하드닝 권고

단기적으로는 외부에서 들어오는 불필요한 인증서 등록 요청을 차단하도록 CA 방화벽 정책을 정비하고, 관리자 계정에는 인증서 기반 인증 외에 스마트 카드나 강제 MFA(다요소 인증) 적용하는 것이 권고된다. 중장기적으로는 인증서 템플릿 권한 검토를 분기 1회 이상 정기 감사 항목으로 편입하고, ESC 계열을 포함해 AD CS 공격 시나리오에 대한 탐지 규칙과 플레이북을 SOC(보안 운영 센터)에 배포해야 한다. 또한 계정 도용 위험을 고려해 일반 사용자 계정의 DC 인증서 발급 시 다단계 승인을 요구하는 정책 도입도 검토할 만하다.

결론 및 전망

Certighost는 AD CS가 가진 인증서 기반 인증 신뢰 구조가 곧바로 권한 상승 경로로 이어질 수 있음을 다시 한번 입증한 사례로 평가된다. 특히 저권한 사용자만으로 재현 가능한 점, 작동 코드가 공개된 점을 감안하면, AD CS를 운영하는 모든 기업은 인증서 템플릿과 등록 권한 감사를 Certighost 시나리오까지 포함해 즉시 수행할 필요가 있다. 향후에는 AI 기반 탐지와 권한 자동 검토 도구가 결합된 AD CS 하드닝 체계가 업계 표준으로 자리 잡을 것으로 전망된다.

관련 태그: Certighost, Active Directory, AD CS, 도메인 컨트롤러, 인증서 위장, 권한 상승, ESC 계열, 저권한 사용자, NTLM, Kerberos, 엔터프라이즈 보안, H0j3n, Aniq Fakhrul, 인증서 템플릿

참고 출처:
The Hacker News – Certighost Exploit Lets Low-Privileged Active Directory Users Impersonate a Domain Controller
Bleeping Computer – Default Azure Automation Setting Enables Cross-Tenant Identity Takeover