CVE-2026-56155: Protezione avanzata ACL contenitore AD FS Distributed Key Manager

1. Attivare la correzione impostando la chiave del Registro di sistema RemediateDkmAcl su 1. Per altre informazioni, vedere l'argomento Windows Server 2016 e versioni successive nella sezione Correzione del consenso esplicito.

2. Entro il 13 ottobre 2026, se la chiave del Registro di sistema non è configurata, l'aggiornamento correggerà automaticamente gli ACL non sicuri. Per rifiutare esplicitamente la correzione automatica, impostare la chiave del Registro di sistema su 0.

1. Concedere all'account del servizio ADFS le autorizzazioni per la correzione, vedere l'argomento Windows Server 2012 e Windows Server 2012 R2 nella sezione Correzione del consenso esplicito.

2. Successivamente, acconsentire esplicitamente alla correzione impostando la chiave del Registro di sistema RemediateDkmAcl su 1.

Dopo l'installazione dell'aggiornamento di luglio 2026, il rilevamento viene eseguito automaticamente un minuto dopo l'avvio del servizio ADFS e successivamente ogni 24 ore. Controllare il registro eventi di AD FS/Amministrazione per gli eventi seguenti.

Avvertenza Non vengono apportate modifiche automatiche all'ACL durante la modalità di controllo.

Usare le linee guida per la correzione specifiche della piattaforma riportate di seguito.

Windows Server 2016 e versioni successive

È consigliabile che gli amministratori risolvano durante la fase di modalità di controllo per identificare e risolvere eventuali problemi di compatibilità prima dell'inizio dell'applicazione nel mese di ottobre 2026. Per abilitare la correzione, impostare la chiave del Registro di sistema seguente in un qualsiasi server ADFS nella farm.

Dopo aver impostato la chiave del Registro di sistema, eseguire una delle operazioni seguenti:

• Attendere fino a 24 ore per il successivo ciclo di rilevamento oppure

• Riavviare il servizio ADFS per attivare prima la correzione

In caso di correzione riuscita, l'evento 1135 (Informazioni) viene registrato con l'ACL precedente in formato SDDL.

Windows Server 2012 e Windows Server 2012 R2

Per queste piattaforme, concedere le autorizzazioni necessarie all'account del servizio ADFS seguendo la procedura riportata di seguito in qualsiasi server ADFS della farm prima di abilitare il Registro di sistema RemediateDkmAcl . In caso contrario, i tentativi di correzione avranno esito negativo.

1. Identificare il DN del contenitore DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identificare l'account del servizio AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Concedere ACE di autorizzazione esplicita per WriteOwner e WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Dopo aver concesso le autorizzazioni necessarie, impostare la chiave del Registro di sistema seguente in qualsiasi server ADFS della farm per abilitare la correzione.

   Informazioni	Dettagli
   Chiave del Registro di sistema	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Valore:	RemediateDkmAcl
   Tipo:	DWORD
   Dati:	1
   Nota	Se "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" non è presente, creare prima la chiave "ADFS", quindi impostare RemediateDkmAcl sotto tale chiave.

5. Dopo aver impostato la chiave del Registro di sistema, eseguire una delle operazioni seguenti:

• Attendere fino a 24 ore per il successivo ciclo di rilevamento oppure

• Riavviare il servizio ADFS per attivare prima la correzione

In caso di correzione riuscita, l'evento 1135 (Informazioni) viene registrato con l'ACL precedente in formato SDDL.

Salvare l'SDDL precedente (scelta consigliata)

Come misura precauzionale, è consigliabile salvare l'ACL precedente (SDDL) dall'evento 1135 dopo la correzione riuscita. Sebbene nella maggior parte dei casi non sia necessario l'ACL precedente (poiché le autorizzazioni originali non erano sicure), la sua disponibilità fornisce una rete di protezione per eventuali problemi di compatibilità imprevisti.

Avvertenza I registri eventi possono essere trasferiti a causa dei limiti di dimensione. Se hai bisogno del file SDDL precedente in futuro e l'evento è stato sovrascritto, andrà perso definitivamente.

Per salvare il file SDDL in un file:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Come ripristinare l'ACL precedente

Se si verificano problemi dopo la correzione ed è necessario ripristinare l'ACL precedente:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Avvertenza Questo comando richiede che l'account che lo esegue disponga di SeSecurityPrivilege (in genere, gli amministratori di dominio lo hanno). Eseguirlo da una sessione di PowerShell con privilegi elevati in un computer aggiunto a un dominio.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Dopo il ripristino, impostare RemediateDkmAcl = su 0 per impedire al servizio di eseguire nuovamente la correzione nel ciclo successivo.

A partire dall'aggiornamento di ottobre 2026, la correzione viene eseguita per impostazione predefinita senza richiedere la chiave del Registro di sistema. Il comportamento equivale ad avere RemediateDkmAcl = 1 impostato.

La correzione automatica dell'applicazione non si applica a Windows Server 2012 o Windows Server 2012 R2. Per queste piattaforme, correggere manualmente seguendo la procedura descritta nell'argomento Windows Server 2012 e Windows Server 2012 R2 nella sezione Correzione del consenso esplicito.

Se è necessario disabilitare la correzione automatica dopo l'aggiornamento di ottobre 2026, impostare il valore RemediateDkmAcl nel Registro di sistema.

In questo modo viene disabilitata in modo esplicito la correzione. Il rilevamento (evento 1132) continua a essere attivato, quindi gli amministratori sono a conoscenza dello stato non sicuro.

Consigli Il rifiuto esplicito lascia vulnerabile il contenitore DKM. Utilizzarlo solo se si dispone di un requisito di compatibilità specifico e si prevede di proteggere manualmente l'ACL.