CVE-2026-56155: Refuerzo de ACL de contenedor de Administrador de claves distribuidas de AD FS

1. Para participar en la corrección, establezca la clave del Registro RemediateDkmAcl en 1. Consulte el tema de Windows Server 2016 y versiones posteriores en la sección de corrección de participación para obtener más información.

2. Antes del 13 de octubre de 2026, si la clave del registro no está configurada, la actualización corregirá automáticamente las ACL no seguras. Para no participar en la corrección automática, establezca la clave del Registro en 0.

1. Conceder permisos de cuenta de servicio de AD FS para corregir, vea el tema de corrección de Windows Server 2012 y Windows Server 2012 R2 en la sección de corrección opcional.

2. Después, opta por la corrección estableciendo la clave del Registro RemediateDkmAcl en 1.

Después de instalar la actualización de julio de 2026, la detección se ejecuta automáticamente un minuto después de que se inicie el servicio de AD FS y, a partir de entonces, cada 24 horas. Compruebe el registro de eventos de AD FS/Administración para ver los siguientes eventos.

Nota No se realizan cambios automáticos en la ACL durante el modo auditoría.

Use la guía de corrección específica de la plataforma a continuación.

Windows Server 2016 y versiones posteriores

Se recomienda encarecidamente que los administradores corrijan durante la fase del modo auditoría para identificar y resolver los problemas de compatibilidad antes de que comience la aplicación en octubre de 2026. Para habilitar la corrección, establezca la siguiente clave del Registro en cualquier servidor de AD FS de la granja de servidores.

Después de establecer la clave del Registro, puede:

• Esperar hasta 24 horas para el siguiente ciclo de detección, o

• Reinicie el servicio de AD FS para desencadenar la corrección antes

Si la corrección se realiza correctamente, el evento 1135 (información) se registra con la ACL anterior en formato SDDL.

Windows Server 2012 y Windows Server 2012 R2

Para estas plataformas, conceda los permisos necesarios a la cuenta de servicio de AD FS siguiendo los pasos siguientes en cualquier servidor de AD FS de la granja antes de habilitar el registro RemediateDkmAcl . De lo contrario, se producirá un error en los intentos de corrección.

1. Identifique el DN del contenedor DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identifique la cuenta de servicio de AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Conceda Allow ACE explícitas para WriteOwner y WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Una vez concedidos los permisos necesarios, establezca la siguiente clave del Registro en cualquier servidor de AD FS de la granja de servidores para habilitar la corrección.

   Información	Detalles
   Clave del registro	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Valor:	RemediateDkmAcl
   Tipo:	DWORD
   Datos:	1
   Nota	Si "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" no está presente, cree primero la clave "ADFS" y luego establezca RemediateDkmAcl bajo esa clave.

5. Después de establecer la clave del Registro, puede:

• Esperar hasta 24 horas para el siguiente ciclo de detección, o

• Reinicie el servicio de AD FS para desencadenar la corrección antes

Si la corrección se realiza correctamente, el evento 1135 (información) se registra con la ACL anterior en formato SDDL.

Guardar el SDDL anterior (recomendado)

Como medida de precaución, se recomienda guardar la ACL anterior (SDDL) del evento 1135 después de una corrección correcta. Aunque no se espera que la ACL anterior sea necesaria en la mayoría de los casos (ya que los permisos originales no eran seguros), tenerla disponible proporciona una red de seguridad para cualquier problema de compatibilidad imprevisto.

Nota Los registros de eventos se pueden revertir debido a límites de tamaño. Si necesita el SDDL anterior en el futuro y el evento se ha sobrescrito, se perderá permanentemente.

Para guardar el SDDL en un archivo:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Cómo restaurar la ACL anterior

Si experimenta problemas después de la corrección y necesita revertir a la ACL anterior:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Nota Este comando requiere que la cuenta que lo ejecuta tenga SeSecurityPrivilege (normalmente los administradores de dominio lo tienen). Ejecute esto desde una sesión de PowerShell con privilegios elevados en un equipo unido a un dominio.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Después de la restauración, establezca RemediateDkmAcl = 0 para evitar que el servicio vuelva a corregirse en el siguiente ciclo.

A partir de la actualización de octubre de 2026, la corrección se ejecuta de forma predeterminada sin necesidad de la clave del registro. El comportamiento equivale a tener RemediateDkmAcl = 1 establecido.

La corrección automática de cumplimiento no se aplica a Windows Server 2012 ni a Windows Server 2012 R2. Para estas plataformas, corrija manualmente siguiendo los pasos del tema de corrección de Windows Server 2012 y Windows Server 2012 R2 en la sección de corrección opcional.

Si necesita deshabilitar la corrección automática después de la actualización de octubre de 2026, establezca el valor RemediateDkmAcl en el Registro.

Esto deshabilita explícitamente la corrección. La detección (evento 1132) continúa disparándose para que los administradores sean conscientes del estado inseguro.

Importante La exclusión deja vulnerable al contenedor de DKM. Úselo solo si tiene un requisito de compatibilidad específico y planea endurecer manualmente la ACL.