ESC8 sigue siendo el hallazgo más común de AD CS que vemos

En los informes enviados al sitio público de estadísticas de Netwrix PingCastle a través del botón "comparar con estadísticas", A-CertEnrollHttp fue señalado 6,487 veces hasta noviembre de 2026. Eso es más que cualquier otra ruta de escalada de Active Directory Certificate Services (AD CS) que rastreamos.

Junto con A-CertEnrollChannelBinding, cubre ESC8. ESC8 está bien documentado y sigue siendo tan común porque comienza con una configuración predeterminada insegura.

¿Qué es ESC8?

ESC8 es un ataque de retransmisión NTLM contra la interfaz web de inscripción de AD CS. Cuando se instala el rol Certification Authority Web Enrollment y su punto final HTTP (certsrv) acepta autenticación NTLM sin protecciones como Extended Protection for Authentication (EPA) o enlace de canal, un atacante puede retransmitir un intento de autenticación NTLM capturado a ese punto final y solicitar un certificado en nombre de otra persona.

Si un atacante obliga a un controlador de dominio a autenticarse con él, usando una técnica como PetitPotam, puede retransmitir esa autenticación al endpoint de inscripción web y recibir un certificado que se autentica como ese controlador de dominio. Desde ahí, es un paso corto hacia DCSync y la completa compromisión del dominio.

MITRE registra esto bajo T1557 (Adversary-in-the-Middle) para el mecanismo de coerción y retransmisión, y T1649 (Steal or Forge Authentication Certificates) para lo que ocurre una vez que el atacante tiene ese certificado en mano.

¿Por qué es tan común ESC8?

La instalación del rol Web Enrollment habilita la autenticación HTTP y NTLM por defecto, y HTTPS con EPA requiere configuración adicional. Los equipos que desconocen esta necesidad permanecen expuestos por defecto.

Nadie decide dejar la inscripción de certificados abierta al relevo NTLM. Alguien configura una CA y habilita Web Enrollment, y seis meses después nadie recuerda que el rol está activo, ni mucho menos que necesita que EPA esté habilitado.

El hallazgo aparece incluso en entornos reforzados, aunque ahora con menos frecuencia debido a que la conciencia sobre ESC8 se ha difundido.

¿Qué puede hacer un atacante con un certificado ESC8?

ESC8 tiene alta gravedad debido a lo que el atacante posee una vez que el relevo tiene éxito. Una sesión NTLM termina rápidamente, pero el certificado emitido permanece válido hasta que expire o alguien lo revoque, lo cual suele ser un año o más.

El certificado también funciona a través de protocolos. El atacante puede autenticarse con Kerberos o Schannel (inicio de sesión TLS basado en certificado), lo que evita cualquier restricción NTLM en el entorno.

Combinado con una técnica de coerción, la cadena solo necesita acceso de red a un endpoint web de inscripción vulnerable y una máquina que el atacante pueda forzar a autenticar. Eso es un umbral bajo para un camino que termina en acceso equivalente a Domain Admin.

¿Cómo detecta PingCastle ESC8?

PingCastle examina cada autoridad certificadora y servidor de inscripción que encuentra en la red. Para cada uno, envía una solicitud a dos puntos finales: la página web de inscripción (certsrv/certrqxt.asp) y el endpoint del Certificate Enrollment Service (CES). Si alguno responde correctamente por HTTP sin cifrar, PingCastle marca el dominio, porque un atacante en la red puede retransmitir la autenticación NTLM a un endpoint de inscripción sin cifrar.

A-CertEnrollChannelBinding cubre el lado HTTPS. Señala los puntos de inscripción que aceptan HTTPS pero no aplican channel binding, ya que una sesión NTLM retransmitida aún puede pasar por HTTPS.

¿Cómo arreglas ESC8 sin interrumpir la inscripción?

¿Necesita Web Enrollment en absoluto? Si nadie en su entorno depende de la interfaz certsrv para solicitudes de certificados, elimine el rol. Es la remediación más sencilla y la primera que debe verificar.

Si lo necesita, HTTPS por sí solo no cierra ESC8. El endpoint de inscripción también requiere que se aplique EPA o el enlace de canal, porque una sesión NTLM retransmitida aún puede ser reenviada a través de una conexión HTTPS.La guía de Microsoft para mitigar ataques de retransmisión NTLM contra AD CS (KB5005413) explica la configuración.

Otras mitigaciones: restrinja el acceso de red a la interfaz web del CA, desactive NTLM cuando Kerberos sea suficiente y aplique parches contra técnicas de coerción conocidas. Para el resto de la exposición de su CA, revise la configuración riesgosa de AD CS que aparece junto a ESC8.

Mi recomendación

Recomiendo verificar si necesita Web Enrollment antes de reforzarlo. Si lo necesita, exija HTTPS y EPA, y siga KB5005413.

Para comprobar si estás expuesto, realiza un escaneo gratuito de PingCastle. Marca directamente ESC8, junto con el resto de la superficie de riesgo de tu AD CS. Busca en el informe "The certificate enrollment interface is accessible by unencrypted HTTP" y "Channel Binding is not enforced for the HTTPS Certificate Enrollment Interface", los dos hallazgos que indican riesgo de ESC8.