CVE-2026-56155: усиление защиты ACL распределенного диспетчера ключей AD FS

1. Согласитесь на исправление, задав для раздела реестра RemediateDkmAclзначение 1. Дополнительные сведения см. в разделе Windows Server 2016 и более поздних версий в разделе "Согласие на исправление".

2. К 13 октября 2026 г., если раздел реестра не настроен, обновление автоматически исправит небезопасные списки управления доступом. Чтобы отказаться от автоматического исправления, задайте для раздела реестра значение 0.

1. Предоставьте учетной записи службы AD FS разрешения на исправление. См. раздел Windows Server 2012 и Windows Server 2012 R2 в разделе Согласие на исправление.

2. После этого согласитесь на исправление, задав для раздела реестра RemediateDkmAclзначение 1.

После установки обновления за июль 2026 г. обнаружение автоматически запускается через минуту после запуска службы AD FS, а затем каждые 24 часа после этого. Проверьте журнал событий AD FS/Администратор на наличие следующих событий.

Примечание Автоматические изменения списка ACL в режиме аудита не вносятся.

Используйте приведенные ниже рекомендации по исправлению для конкретной платформы.

Windows Server 2016 и более поздних версий

Мы настоятельно рекомендуем администраторам устранить неполадки на этапе режима аудита, чтобы выявить и устранить проблемы совместимости до начала принудительного применения в октябре 2026 г. Чтобы включить исправление, задайте следующий раздел реестра на любом сервере AD FS в ферме.

После установки раздела реестра выполните следующие действия:

• Подождите до 24 часов для следующего цикла обнаружения или

• Перезапустите службу AD FS, чтобы быстрее активировать исправление

При успешном исправлении событие 1135 (сведения) регистрируется в предыдущем ACL в формате SDDL.

Windows Server 2012 и Windows Server 2012 R2

Для этих платформ предоставьте необходимые разрешения учетной записи службы AD FS, выполнив приведенные ниже действия на любом сервере AD FS в ферме, прежде чем включать реестр RemediateDkmAcl . В противном случае попытки исправления завершатся ошибкой.

1. Определите DN контейнера DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Определите учетную запись службы AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Предоставьте явное разрешение ACE для WriteOwner и WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. После предоставления необходимых разрешений задайте следующий раздел реестра на любом сервере AD FS в ферме, чтобы включить исправление.

   Информация	Подробности
   Раздел реестра	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Значение:	RemediateDkmAcl
   Тип:	DWORD
   Данные:	1
   Примечание.	Если "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" отсутствует, сначала создайте ключ "ADFS", а затем задайте файл RemediateDkmAcl под этим ключом.

5. После установки раздела реестра выполните следующие действия:

• Подождите до 24 часов для следующего цикла обнаружения или

• Перезапустите службу AD FS, чтобы быстрее активировать исправление

При успешном исправлении событие 1135 (сведения) регистрируется в предыдущем ACL в формате SDDL.

Сохранение предыдущего ФАЙЛА SDDL (рекомендуется)

В качестве меры предосторожности рекомендуется сохранить предыдущий ACL (SDDL) от события 1135 после успешного исправления. Хотя предыдущий ACL, как ожидается, не потребуется в большинстве случаев (так как исходные разрешения были небезопасными), его доступность обеспечивает безопасность для любых непредвиденных проблем совместимости.

Примечание Журналы событий могут перевернуться из-за ограничений размера. Если вам потребуется предыдущий SDDL в будущем и событие было перезаписано, оно будет окончательно потеряно.

Чтобы сохранить SDDL в файл, выполните следующие действия:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Восстановление предыдущего списка ACL

Если после исправления возникли проблемы и необходимо отменить изменения в предыдущий список ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Примечание Для выполнения этой команды требуется, чтобы учетная запись, запустив ее, должна иметь SeSecurityPrivilege (как правило, это есть у администраторов домена). Запустите его из сеанса PowerShell с повышенными привилегиями на компьютере, присоединенном к домену.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

После восстановления задайте значение RemediateDkmAcl = 0 , чтобы предотвратить повторное исправление службы в следующем цикле.

Начиная с обновления за октябрь 2026 г. исправление выполняется по умолчанию без необходимости использования раздела реестра. Поведение эквивалентно набору RemediateDkmAcl = 1 .

Принудительное автоматическое исправление не применяется к Windows Server 2012 или Windows Server 2012 R2. Для этих платформ выполните исправление вручную, выполнив действия, описанные в разделе Windows Server 2012 и Windows Server 2012 R2 в разделе Согласие на исправление.

Если вам нужно отключить автоматическое исправление после обновления за октябрь 2026 г., задайте значение RemediateDkmAcl в реестре.

Это явно отключает исправление. Обнаружение (событие 1132) продолжается, поэтому администраторы знают о небезопасном состоянии.

Важно При отказе контейнер DKM остается уязвимым. Используйте его только в том случае, если у вас есть определенные требования к совместимости и вы планируете вручную ужесточить список ACL.