CVE-2026-56155: contêiner do Gerenciador de Chaves Distribuídas do AD FS Proteção de ACL

1. Aceite a correção definindo a chave do Registro RemediateDkmAcl como 1. Consulte o tópico do Windows Server 2016 e posterior na seção Correção de aceitação para obter mais informações.

2. Até 13 de outubro de 2026, se a chave do Registro não estiver configurada, a atualização corrigirá automaticamente as ACLs inseguras. Para recusar a correção automática, defina a chave do Registro como 0.

1. Conceder permissões de conta de serviço do AD FS para corrigir, consulte o tópico do Windows Server 2012 e do Windows Server 2012 R2 na seção Correção de aceitação.

2. Depois disso, aceite a correção definindo a chave do Registro RemediateDkmAcl como 1.

Depois de instalar a atualização de julho de 2026, a detecção é executada automaticamente um minuto após o início do serviço AD FS e, em seguida, a cada 24 horas depois disso. Verifique o log de eventos do AD FS/Administração para os eventos a seguir.

Observação Nenhuma alteração automática é feita na ACL durante o modo de auditoria.

Use as orientações de correção específicas da plataforma abaixo.

Windows Server 2016 e posterior

É altamente recomendável que os administradores corrijam durante a fase do Modo de Auditoria para identificar e resolver quaisquer problemas de compatibilidade antes do início da aplicação em outubro de 2026. Para habilitar a correção, defina a seguinte chave do Registro em qualquer servidor AD FS no farm.

Depois de definir a chave do Registro:

• Aguarde até 24 horas pelo próximo ciclo de detecção ou

• Reinicie o serviço AD FS para disparar a correção mais cedo

Em caso de correção bem-sucedida, o evento 1135 (Informações) é registrado com a ACL anterior no formato SDDL.

Windows Server 2012 e Windows Server 2012 R2

Para essas plataformas, conceda as permissões necessárias à conta de serviço do AD FS seguindo as etapas abaixo em qualquer servidor do AD FS no farm antes de habilitar o registro RemediateDkmAcl . Caso contrário, as tentativas de correção falharão.

1. Identifique o DN do contêiner DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identifique a conta de serviço do AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Conceder ACEs explícitas para WriteOwner e WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Depois que as permissões necessárias forem concedidas, defina a seguinte chave do Registro em qualquer servidor AD FS no farm para habilitar a correção.

   Informações	Detalhes
   Chave do Registro	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Valor:	RemediateDkmAcl
   Tipo:	DWORD
   Dados:	1
   Observação	Se "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" não estiver presente, crie a chave "ADFS" primeiro e defina RemediateDkmAcl sob essa chave.

5. Depois de definir a chave do Registro:

• Aguarde até 24 horas pelo próximo ciclo de detecção ou

• Reinicie o serviço AD FS para disparar a correção mais cedo

Em caso de correção bem-sucedida, o evento 1135 (Informações) é registrado com a ACL anterior no formato SDDL.

Salvar o SDDL anterior (Recomendado)

Como medida de precaução, recomendamos salvar a ACL anterior (SDDL) do evento 1135 após a correção bem-sucedida. Embora não se espere que a ACL anterior seja necessária na maioria dos casos (já que as permissões originais eram inseguras), tê-la disponível fornece uma rede de segurança para quaisquer problemas de compatibilidade imprevistos.

Observação Os logs de eventos podem ser substituídos devido a limites de tamanho. Se você precisar do SDDL anterior no futuro e o evento tiver sido substituído, ele será perdido permanentemente.

Para salvar o SDDL em um arquivo:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Como restaurar a ACL anterior

Se você tiver problemas após a correção e precisar reverter para a ACL anterior:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Observação Esse comando requer que a conta que o executa tenha SeSecurityPrivilege (normalmente, os administradores de domínio têm isso). Execute isso em uma sessão do PowerShell com privilégios elevados em um computador ingressado no domínio.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Após a restauração, defina RemediateDkmAcl = 0 para impedir que o serviço seja corrigido novamente no próximo ciclo.

A partir da atualização de outubro de 2026, a correção é executada por padrão sem exigir a chave do Registro. O comportamento é equivalente a ter RemediateDkmAcl = 1 definido.

A correção automática de imposição não se aplica ao Windows Server 2012 ou ao Windows Server 2012 R2. Para essas plataformas, corrija manualmente seguindo as etapas no tópico Windows Server 2012 e Windows Server 2012 R2 na seção Correção de aceitação.

Se você precisar desabilitar a correção automática após a atualização de outubro de 2026, defina o valor RemediateDkmAcl no Registro.

Isso desabilita explicitamente a correção. A detecção (evento 1132) continua a ser acionada para que os administradores fiquem cientes do estado inseguro.

Importante A desativação deixa seu contêiner DKM vulnerável. Use-o apenas se você tiver um requisito de compatibilidade específico e planejar proteger manualmente a ACL.