CVE-2026-56155: AD FS Distributed Key Manager container ACL hardening

นำไปใช้กับ

Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server 2025

วันที่เผยแพร่ครั้งแรก: 14 กรกฎาคม 2026
KB ID: 5121391

ในบทความนี้

บทสรุป
จัดการงาน
การเปลี่ยนแปลงสถานะความปลอดภัยที่คาดไว้
การปฏิเสธการแก้ไขอัตโนมัติ
กรณีเหตุการณ์ความล้มเหลวของความเป็นเจ้าของ (ID เหตุการณ์ 1137)
บันทึก SDDL ก่อนหน้า (แนะนํา)
วิธีคืนค่า ACL ก่อนหน้า
การอ้างอิงเหตุการณ์
บันทึกการเปลี่ยนแปลง

สรุป

รายการตัวควบคุมการเข้าถึง (ACL) บนคอนเทนเนอร์ Distributed Key Manager (DKM) เข้าสู่ระยะการทําให้เข้มขึ้นครั้งแรกด้วยการอัปเดตความปลอดภัยของ Windows เมื่อวันที่ 14 กรกฎาคม 2026 ซึ่งแนะนําการตรวจหาอัตโนมัติของ ACL ที่ไม่ปลอดภัยและกลไกการแก้ไขการเลือกรับ

เริ่มตั้งแต่การอัปเดตความปลอดภัยของ Windows ในวันที่ 13 ตุลาคม 2026 AD FS จะแก้ไข ACL ของคอนเทนเนอร์ DKM ที่ไม่ปลอดภัยโดยอัตโนมัติตามค่าเริ่มต้น ผู้ดูแลระบบสามารถเลือกไม่รับได้โดยตั้งค่า RemediateDkmAcl เป็น 0 ความพยายามในการทําให้ปลอดภัยยิ่งขึ้นนี้แก้ไขการยกระดับสิทธิ์ (EOP) ที่อาจเกิดขึ้นจากช่องโหว่ที่บันทึกไว้ใน CVE-2026-56155 | บริการการเข้าใช้งานเว็บรวมของ Active Directory ช่องโหว่การยกระดับสิทธิ์ให้สูงขึ้น

โดยสรุป บริการการเข้าใช้งานเว็บรวมของ Active Directory (AD FS) ใช้คอนเทนเนอร์ DKM เพื่อจัดเก็บคีย์แบบสมมาตรที่ใช้ปกป้องใบรับรองการลงนามด้วยโทเค็นและการเข้ารหัสโทเค็นสําหรับคีย์ส่วนตัว หาก ACL ของคอนเทนเนอร์อนุญาตมากเกินไป ผู้โจมตีที่มีสิทธิ์ในการอ่านข้อมูลคีย์ DKM สามารถถอดรหัสคีย์ส่วนตัวที่มีการลงนามด้วยโทเค็นได้

กลับไปด้านบน

จัดการงาน

เพื่อปกป้องสภาพแวดล้อมของคุณ ให้ทําตามขั้นตอนต่อไปนี้:

ติดตั้งการอัปเดตความปลอดภัยของ Windows ที่เหมาะสมซึ่งเผยแพร่ในวันที่ 13 ตุลาคม 2026 หรือหลังจากนั้นบนเซิร์ฟเวอร์ AD FS ทั้งหมด

สำคัญ

ก่อนที่จะติดตั้งการอัปเดตความปลอดภัย ให้พิจารณาว่าคุณต้องปฏิเสธการแก้ไขอัตโนมัติหรือไม่ ไม่แนะนําให้เลือกไม่รับ เนื่องจากจะทําให้ ACL ของคอนเทนเนอร์ DKM อยู่ในสถานะที่ไม่ปลอดภัย

ถ้าคุณต้องเลือกที่จะไม่ใช้ข้อกําหนดความเข้ากันได้ที่เฉพาะเจาะจง ให้ตั้งค่ารีจิสทรี RemediateDkmAcl เป็น 0 บนเซิร์ฟเวอร์ AD FS ทุกเซิร์ฟเวอร์ในฟาร์มก่อนที่จะติดตั้งการอัปเดต คอนเทนเนอร์ DKM เป็นวัตถุ Active Directory เดี่ยวที่ใช้ร่วมกันโดยเซิร์ฟเวอร์ AD FS ทั้งหมดในฟาร์ม และงานพื้นหลัง DKM ACL จะทํางานในแต่ละเซิร์ฟเวอร์ ถ้า RemediateDkmAcl ขาดหายไปหรือตั้งค่าเป็นค่าที่ไม่ใช่ศูนย์บนเซิร์ฟเวอร์ AD FS เพียงเซิร์ฟเวอร์เดียว เซิร์ฟเวอร์นั้นสามารถปรับแก้ ACL ของคอนเทนเนอร์ DKM ที่แชร์ได้โดยอัตโนมัติหลังจากติดตั้งการอัปเดต

หลังจากติดตั้ง บริการ AD FS จะตรวจสอบ ACL ของคอนเทนเนอร์ DKM ในแต่ละครั้งที่บริการเริ่มต้นและทุกๆ 24 ชั่วโมงหลังจากนั้น ถ้า ACL ไม่ปลอดภัย AD FS จะพยายามแก้ไขโดยอัตโนมัติ เว้นแต่ RemediateDkmAcl จะถูกตั้งค่าเป็น 0
ตรวจสอบบันทึกเหตุการณ์ของ AD FS Admin สําหรับเหตุการณ์ต่อไปนี้:
- รหัสเหตุการณ์: 1133 ระบุว่า ACL ของคอนเทนเนอร์ DKM ปลอดภัย ไม่จำเป็นต้องดำเนินการใด ๆ เพิ่มเติม
- รหัสเหตุการณ์: 1132 ระบุว่า ACL ของคอนเทนเนอร์ DKM ไม่ปลอดภัยและจะมีการแก้ไขอัตโนมัติ รายละเอียด ACL จะถูกเขียนลงในรายการรหัสเหตุการณ์ 510 อย่างน้อยหนึ่งรายการที่ตามมาด้วยรหัสอินสแตนซ์เดียวกัน ตรวจสอบ ID เหตุการณ์ 1135, 1136 หรือ 1137 สําหรับผลลัพธ์การแก้ไขและดําเนินการต่อไปนี้โดยยึดตามผลลัพธ์
- รหัสเหตุการณ์: 1135 (การแก้ไขสําเร็จ) ไม่จําเป็นต้องมีการดําเนินการแก้ไขเพิ่มเติม บันทึก ACL ก่อนหน้าจากรายการ ID เหตุการณ์ 510 ที่ตามมา ตามที่อธิบายไว้ในส่วนบันทึก SDDL ก่อนหน้า
- รหัสเหตุการณ์: 1136 (การแก้ไขล้มเหลว) ตรวจสอบรายการ ID เหตุการณ์ 510 ที่ตามมาสําหรับ ACL ปัจจุบันและรายละเอียดข้อยกเว้น แก้ไขข้อผิดพลาดพื้นฐาน แล้วเริ่มบริการ AD FS ใหม่ หรือรอรอบการตรวจหาครั้งถัดไป
- ID เหตุการณ์: 1137 (การเปลี่ยนความเป็นเจ้าของล้มเหลว) ให้สิทธิ์ WriteOwner และ WriteDacl แก่บัญชีบริการ AD FS โดยทําตามคําแนะนํากรณีเหตุการณ์ความล้มเหลวของเจ้าของ แล้วเริ่มบริการ AD FS ใหม่หรือรอรอบการตรวจสอบถัดไป

เหตุการณ์ ACL ของคอนเทนเนอร์ AD FS DKM

ID เหตุการณ์	ชนิด	ความหมาย
1132	คำเตือน	ACL ของคอนเทนเนอร์ DKM ไม่ตรงกับสถานะความปลอดภัยที่คาดไว้ ตรวจทานเหตุการณ์การแก้ไข 1135, 1136 และ 1137
1133	ข้อมูล	ACL ของคอนเทนเนอร์ DKM อยู่ในสถานะปลอดภัยที่คาดไว้ ไม่จําเป็นต้องดําเนินการใดๆ
1134	ข้อผิดพลาด	งานการตรวจหาพบข้อผิดพลาด (เช่น ความล้มเหลวในการเชื่อมต่อ LDAP) ตรวจสอบบันทึกการแก้จุดบกพร่องของ AD FS และแก้ไขข้อผิดพลาดพื้นฐาน
1135	ข้อมูล	การแก้ไข ACL ของคอนเทนเนอร์ DKM เสร็จสมบูรณ์แล้ว บันทึก SDDL ก่อนหน้า
1136	ข้อผิดพลาด	การแก้ไข ACL ของคอนเทนเนอร์ DKM ล้มเหลว ตรวจสอบรายการ ID เหตุการณ์ 510 ที่สัมพันธ์กันและการติดตามการดีบักของ AD FS และแก้ไขข้อผิดพลาดพื้นฐาน
1137	ข้อผิดพลาด	AD FS ไม่สามารถรับความเป็นเจ้าของคอนเทนเนอร์ DKM ได้เนื่องจากบัญชีบริการไม่มีสิทธิ์ที่จําเป็น ให้สิทธิ์ที่จําเป็น
510	ข้อมูล	มีรายละเอียด ACL หรือข้อยกเว้นที่ล้นออกจากรหัสเหตุการณ์ 1132, 1135 หรือ 1136 ตรงกับรายการตาม ID อินสแตนซ์

กลับไปด้านบน

การเปลี่ยนแปลงสถานะความปลอดภัยที่คาดไว้

หลังจากการแก้ไข เฉพาะรายการหลักต่อไปนี้เท่านั้นที่จะมีสิทธิ์เข้าถึงคอนเทนเนอร์ DKM:

อาจารย์ใหญ่	สิทธิ์การเข้าถึง
ผู้ดูแลระบบโดเมน	ทั่วไป ทั้งหมด (ควบคุมทั้งหมด)
ผู้ดูแลระบบขององค์กร	ทั่วไป ทั้งหมด (ควบคุมทั้งหมด)
ระบบ	ทั่วไป ทั้งหมด (ควบคุมทั้งหมด)
บัญชีบริการ AD FS	อ่าน เขียน สร้างลัทธิการ เขียนเจ้าของ ลบทรี

หมายเหตุ การสืบทอดถูกปิดใช้งาน และ ACE ที่สืบทอดมาทั้งหมดจะถูกละทิ้ง อนุญาต ACE แบบโจ่งแจ้งอื่นๆ ที่ไม่ได้อยู่ในรายการด้านบนจะถูกเอาออก

กลับไปด้านบน

การปฏิเสธการแก้ไขอัตโนมัติ

สำคัญ

ส่วน วิธีการ หรือการทำงานนี้ประกอบด้วยข้อมูลเกี่ยวกับวิธีการเปลี่ยนแปลงรีจิสทรี แต่ปัญหาร้ายแรงอาจเกิดขึ้น ถ้าคุณปรับเปลี่ยนรีจิสทรีอย่างไม่ถูกต้อง ดังนั้นโปรดตรวจสอบให้แน่ใจว่าคุณทำตามขั้นตอนเหล่านี้อย่างระมัดระวัง สำหรับการป้องกันที่เพิ่มขึ้น ให้สำรองข้อมูลรีจิสทรีก่อนที่คุณจะปรับเปลี่ยน จากนั้นคุณสามารถคืนค่ารีจิสทรีถ้ามีปัญหาเกิดขึ้น สําหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีสํารองข้อมูลและคืนค่ารีจิสทรี ให้ดูวิธีการสํารองข้อมูลและคืนค่ารีจิสทรีใน Windows

การแก้ไขจะเปิดใช้งานตามค่าเริ่มต้นเมื่อ RemediateDkmAcl ขาดหายไปหรือถูกตั้งค่าเป็นค่าที่ไม่ใช่ศูนย์ ถ้าคุณต้องเลือกที่จะไม่รับข้อกําหนดความเข้ากันได้ที่เฉพาะเจาะจง ให้ตั้งค่าเป็น 0 บนเซิร์ฟเวอร์ AD FS ทุกเซิร์ฟเวอร์ในฟาร์มก่อนที่จะติดตั้งการอัปเดต ไม่แนะนําให้เลือกไม่รับ เนื่องจากจะทําให้ ACL ของคอนเทนเนอร์ DKM อยู่ในสถานะที่ไม่ปลอดภัย

ข้อมูล	รายละเอียด
รีจิสทรีคีย์:	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
ค่า:	RemediateDkmAcl
ประเภท:	DWORD
ข้อมูล:	0

กลับไปด้านบน

กรณีเหตุการณ์ความล้มเหลวของความเป็นเจ้าของ (ID เหตุการณ์ 1137)

รหัสเหตุการณ์: 1137 ระบุว่า AD FS ไม่สามารถรับความเป็นเจ้าของคอนเทนเนอร์ DKM ได้เนื่องจากบัญชีบริการไม่มีสิทธิ์ที่จําเป็น อาการนี้เกิดขึ้นบ่อยที่สุดในฟาร์มที่สร้างขึ้นครั้งแรกใน Windows Server 2012 หรือ Windows Server 2012 R2 ในกรณีนี้ ให้อนุญาตสิทธิ์ที่จําเป็นกับบัญชีบริการ AD FS โดยทําตามขั้นตอนด้านล่างบน เซิร์ฟเวอร์ AD FS เครื่องใดก็ได้ ในฟาร์ม มิฉะนั้น ความพยายามในการแก้ไขจะยังคงล้มเหลว

ระบุ DN ของคอนเทนเนอร์ DKM:


$dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
$dkmContainerDn

ระบุบัญชีบริการ AD FS:


$serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
$serviceAccount

อนุญาต ACEs สําหรับ WriteOwner และ WriteDacl อย่างชัดเจน:


$sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
$rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
 $sid, 
 ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
 [System.Security.AccessControl.AccessControlType]::Allow, 
 [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
) 
$entry.ObjectSecurity.AddAccessRule($rule) 
$entry.CommitChanges() 
$entry.Close()

หลังจากได้รับสิทธิ์ที่จําเป็นแล้ว ให้ทําอย่างใดอย่างหนึ่งต่อไปนี้
- รอสูงสุด 24 ชั่วโมงสําหรับรอบการตรวจสอบครั้งถัดไป
- เริ่มบริการ AD FS ใหม่เพื่อทริกเกอร์การแก้ไขเร็วขึ้น

เมื่อการแก้ไขสําเร็จ รหัสเหตุการณ์: 1135 (ข้อมูล) จะถูกบันทึกด้วย ACL ก่อนหน้าในรูปแบบ SDDL

กลับไปด้านบน

บันทึก SDDL ก่อนหน้า (แนะนํา)

เพื่อเป็นมาตรการป้องกัน เราขอแนะนําให้บันทึก ACL ก่อนหน้า (SDDL) จาก ID เหตุการณ์: 510 รายการที่สัมพันธ์กับรหัสเหตุการณ์: 1135 หลังจากการแก้ไขสําเร็จ ID เหตุการณ์: 1135 มี ID อินสแตนซ์ที่ใช้ในการระบุรหัสเหตุการณ์ที่เกี่ยวข้อง: 510 รายการ แม้ว่าคาดว่าจะไม่จําเป็นต้องใช้ ACL ก่อนหน้านี้ในกรณีส่วนใหญ่ (เนื่องจากสิทธิ์เดิมไม่ปลอดภัย) แต่การมีให้ใช้งานจะช่วยป้องกันปัญหาความเข้ากันได้ที่ไม่คาดฝัน

หมายเหตุ

บันทึกเหตุการณ์สามารถย้อนกลับได้เนื่องจากขีดจํากัดขนาด ถ้าคุณต้องการ SDDL ก่อนหน้านี้ในอนาคตและเหตุการณ์ถูกเขียนทับ เหตุการณ์นั้นจะสูญหายอย่างถาวร

คุณสามารถคัดลอกและรวม SDDL ด้วยตนเองจากรหัสเหตุการณ์: 510 รายการที่มีรหัสอินสแตนซ์ที่อ้างอิงโดยรหัสเหตุการณ์: 1135 อีกวิธีหนึ่งคือ ใช้สคริปต์ PowerShell ต่อไปนี้เพื่อรวบรวม ID เหตุการณ์ที่สัมพันธ์กัน: 510 รายการ และบันทึก SDDL ไปยังไฟล์:


New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

กลับไปด้านบน

วิธีคืนค่า ACL ก่อนหน้า

หากคุณพบปัญหาหลังจากการแก้ไขและจําเป็นต้องแปลงกลับเป็น ACL ก่อนหน้า:


# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close()

หมายเหตุ

คําสั่งนี้ต้องการให้บัญชีผู้ใช้ที่เรียกใช้ต้องมี SeSecurityPrivilege (โดยปกติแล้วผู้ดูแลระบบโดเมนจะมีสิ่งนี้) เรียกใช้นี้จากเซสชัน PowerShell สิทธิ์ผู้ดูแลบนเครื่องที่เข้าร่วมโดเมน


Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord

หลังจากคืนค่า ให้ตั้งค่า RemediateDkmAcl = 0 บนเซิร์ฟเวอร์ AD FS ทุกเซิร์ฟเวอร์ในฟาร์มเพื่อป้องกันไม่ให้บริการซ่อมแซมอีกครั้งในรอบถัดไป

กลับไปด้านบน

การอ้างอิงเหตุการณ์

รหัสเหตุการณ์: 1132 — ACL ของคอนเทนเนอร์ DKM ต้องตรวจทาน

ข้อมูล	รายละเอียด
บันทึกเหตุการณ์	AD FS/Admin
ชนิดของเหตุการณ์	คำเตือน
แหล่งของเหตุการณ์	AD FS
ID เหตุการณ์	1132
ข้อความเหตุการณ์	AD FS ตรวจพบว่า ACL ของคอนเทนเนอร์ Distributed Key Manager (DKM) ไม่ตรงกับสถานะความปลอดภัยที่คาดไว้ คอนเทนเนอร์ DKM จัดเก็บคีย์แบบสมมาตรที่ใช้เพื่อป้องกันคีย์ที่มีการลงนามด้วยโทเค็น DN คอนเทนเนอร์: <DN> สถานะความปลอดภัยที่คาดไว้คือปิดใช้งานการสืบทอด และมีเพียงผู้ดูแลระบบโดเมน ผู้ดูแลระบบองค์กร ระบบ และบัญชีบริการ AD FS เท่านั้นที่สามารถเข้าถึงได้ AD FS จะพยายามแก้ไข ACL โดยอัตโนมัติ การแก้ไขจะทํางานทันทีและทุกๆ 24 ชั่วโมงหลังจากนั้นจนกว่า ACL จะตรงกับสถานะความปลอดภัยที่คาดไว้ ดูเหตุการณ์ 1135 (การแก้ไขสําเร็จ) หรือเหตุการณ์ 1136/1137 (การแก้ไขล้มเหลว) สําหรับผลลัพธ์ ถ้าคุณต้องการปฏิเสธการแก้ไขอัตโนมัติ ให้ตั้งค่า HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) เป็น 0 สําหรับคําแนะนํา ให้ดูhttps://go.microsoft.com/fwlink/?linkid=2369796 ข้อมูลเพิ่มเติม ปิดใช้งานการสืบทอด: <ใช่/ไม่ใช่> ACL ปัจจุบัน (SDDL): ดูเหตุการณ์ 510 ที่มีรหัสอินสแตนซ์: <ID อินสแตนซ์>

รหัสเหตุการณ์: 1133 — ACL ของคอนเทนเนอร์ DKM สมบูรณ์

ข้อมูล	รายละเอียด
บันทึกเหตุการณ์	AD FS/Admin
ชนิดของเหตุการณ์	ข้อมูล
แหล่งของเหตุการณ์	AD FS
ID เหตุการณ์	1133
ข้อความเหตุการณ์	งานพื้นหลัง DKM ACL ได้ตรวจทาน ACL ของคอนเทนเนอร์เพื่อทําให้ปลอดภัยมากขึ้น คอนเทนเนอร์มีการตั้งค่าที่ถูกต้อง และไม่จําเป็นต้องดําเนินการใดๆ เพิ่มเติม DN คอนเทนเนอร์: <DN>

รหัสเหตุการณ์: 1134 — ข้อผิดพลาดในการตรวจพบ

ข้อมูล	รายละเอียด
บันทึกเหตุการณ์	AD FS/Admin
ชนิดของเหตุการณ์	ข้อผิดพลาด
แหล่งของเหตุการณ์	AD FS
ID เหตุการณ์	1134
ข้อความเหตุการณ์	งานตรวจสอบพื้นหลัง ACL ของคอนเทนเนอร์ AD FS DKM พบข้อผิดพลาด DN คอนเทนเนอร์: <DN> ข้อมูลเพิ่มเติม รายละเอียดข้อยกเว้น: <ข้อยกเว้น> การกระทําของผู้ใช้ ตรวจสอบบันทึกการแก้ไขจุดบกพร่องของ AD FS เพื่อดูรายละเอียดเพิ่มเติม ตรวจสอบให้แน่ใจว่าบัญชีบริการ AD FS มีสิทธิ์เข้าถึงคอนเทนเนอร์กลุ่ม DKM ใน Active Directory

รหัสเหตุการณ์: 1135 — การแก้ไขสําเร็จ

ข้อมูล	รายละเอียด
บันทึกเหตุการณ์	AD FS/Admin
ชนิดของเหตุการณ์	ข้อมูล
แหล่งของเหตุการณ์	AD FS
ID เหตุการณ์	1135
ข้อความเหตุการณ์	AD FS เสริมความแข็งแกร่งให้กับคอนเทนเนอร์ ACL ของ Distributed Key Manager (DKM) ได้สําเร็จ DN คอนเทนเนอร์: <DN> ขณะนี้ ACL ของคอนเทนเนอร์ให้สิทธิ์การเข้าถึงกับผู้ดูแลระบบโดเมน ผู้ดูแลระบบองค์กร ระบบ และบัญชีบริการ AD FS เท่านั้น การสืบทอดถูกบล็อก และสิทธิ์อื่นๆ ทั้งหมดถูกเอาออกแล้ว หมายเหตุ: การแก้ไขอัตโนมัติจะไม่ทํางานอีกครั้งในขณะที่ ACL ตรงกับข้อมูลพื้นฐาน หากคุณต้องการปฏิเสธการเข้าร่วมการแก้ไขอัตโนมัติอย่างถาวรแม้ว่า ACL จะเลื่อนไปในอนาคต ให้ตั้งค่า HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) เป็น 0 ACL ก่อนหน้าจะรวมอยู่ในรูปแบบ SDDL ด้านล่าง ถ้าคุณต้องการคืนค่าสิทธิ์เดิม ให้ดู https://go.microsoft.com/fwlink/?linkid=2369796 ข้อมูลเพิ่มเติม ACL ก่อนหน้า (SDDL): ดูเหตุการณ์ 510 ที่มีรหัสอินสแตนซ์: <ID อินสแตนซ์>

รหัสเหตุการณ์: 1136 — การแก้ไขล้มเหลว

ข้อมูล	รายละเอียด
บันทึกเหตุการณ์	AD FS/Admin
ชนิดของเหตุการณ์	ข้อผิดพลาด
แหล่งของเหตุการณ์	AD FS
ID เหตุการณ์	1136
ข้อความเหตุการณ์	AD FS พยายามปรับแก้ ACL ของคอนเทนเนอร์ Distributed Key Manager (DKM) แต่ล้มเหลว DN คอนเทนเนอร์: <DN> ผู้ใช้ ActionAutoremediation จะลองอีกครั้งในรอบการตรวจสอบครั้งถัดไป (ภายใน 24 ชั่วโมง) หากคุณต้องการแก้ไข ACL ด้วยตนเอง ให้ตรวจสอบและแก้ไข ACE บนคอนเทนเนอร์กลุ่ม DKM เฉพาะผู้ดูแลระบบโดเมน ผู้ดูแลระบบองค์กร ระบบ และบัญชีบริการ AD FS เท่านั้นที่สามารถเข้าถึงได้ เมื่อต้องการปิดใช้งานการแก้ไขอัตโนมัติ ให้ตั้งค่า HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) เป็น 0 สําหรับคําแนะนํา ให้ดู https://go.microsoft.com/fwlink/?linkid=2369796 ข้อมูลเพิ่มเติม ACL ปัจจุบัน (SDDL) และรายละเอียดข้อยกเว้น: ดูเหตุการณ์ 510 ที่มีรหัสอินสแตนซ์: <ID อินสแตนซ์>

รหัสเหตุการณ์: 1137 — ความล้มเหลวในการเปลี่ยนความเป็นเจ้าของ

ข้อมูล	รายละเอียด
บันทึกเหตุการณ์	AD FS/Admin
ชนิดของเหตุการณ์	ข้อผิดพลาด
แหล่งของเหตุการณ์	AD FS
ID เหตุการณ์	1137
ข้อความเหตุการณ์	AD FS พยายามปรับแก้ ACL ของคอนเทนเนอร์ Distributed Key Manager (DKM) แต่ไม่สามารถรับความเป็นเจ้าของได้เนื่องจากบัญชีบริการ AD FS ไม่มีสิทธิ์ที่จําเป็น นี่เป็นสิ่งที่คาดหวังสําหรับฟาร์มที่สร้างขึ้นครั้งแรกใน Windows Server 2012 หรือ Windows Server 2012 R2 DN คอนเทนเนอร์: <DN> การกระทําของผู้ใช้ ให้สิทธิ์ที่จําเป็นกับบัญชีบริการ AD FS เพื่อให้การแก้ไขสําเร็จ การแก้ไขอัตโนมัติจะลองอีกครั้งในรอบการตรวจหาครั้งถัดไป (ภายใน 24 ชั่วโมง) หรือเมื่อเริ่มบริการใหม่ หากคุณต้องการแก้ไข ACL ด้วยตนเอง ให้ตรวจสอบและแก้ไข ACE บนคอนเทนเนอร์กลุ่ม DKM เฉพาะผู้ดูแลระบบโดเมน ผู้ดูแลระบบองค์กร ระบบ และบัญชีบริการ AD FS เท่านั้นที่สามารถเข้าถึงได้ เมื่อต้องการปิดใช้งานการแก้ไขอัตโนมัติ ให้ตั้งค่า HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) เป็น 0 สําหรับคําแนะนํา ให้ดู https://go.microsoft.com/fwlink/?linkid=2369796

ID เหตุการณ์: 510 — ข้อมูล ACL เพิ่มเติม

ข้อมูล	รายละเอียด
บันทึกเหตุการณ์	AD FS/Admin
ชนิดของเหตุการณ์	ข้อมูล
แหล่งของเหตุการณ์	AD FS
ID เหตุการณ์	510
ข้อความเหตุการณ์	ข้อมูลเพิ่มเติมสําหรับรายการเหตุการณ์ที่มี ID อิน <สแตนซ์ ID อิน>สแตนซ์ อาจมีอีเวนต์เพิ่มเติมที่มี ID อินสแตนซ์เดียวกันพร้อมข้อมูลเพิ่มเติม รหัสอินสแตนซ์: <ID อินสแตนซ์> รายละเอียด: <ACL หรือส่วนรายละเอียดข้อยกเว้น> สําหรับ ACL ขนาดใหญ่ สามารถบันทึกรายการรหัสเหตุการณ์ 510 ได้หลายรายการ ID เหตุการณ์ที่เกี่ยวข้อง 1132, 1135 หรือ 1136 จะถูกบันทึกก่อน ตามด้วยรายการ ID เหตุการณ์ 510 ที่มี ID อินสแตนซ์เดียวกัน

กลับไปด้านบน

บันทึกการเปลี่ยนแปลง

เปลี่ยนวันที่	เปลี่ยนคําอธิบาย
13 ตุลาคม 2026	เขียนบทความนี้ใหม่อย่างครอบคลุมสําหรับการเผยแพร่วันที่ 13 ตุลาคม 2026 เพิ่มรหัสเหตุการณ์ใหม่ 1137 และ 510 ในส่วนการอ้างอิงเหตุการณ์

กลับไปด้านบน

CVE-2026-56155: AD FS Distributed Key Manager container ACL hardening

ในบทความนี้

สรุป

จัดการงาน

การเปลี่ยนแปลงสถานะความปลอดภัยที่คาดไว้

การปฏิเสธการแก้ไขอัตโนมัติ

กรณีเหตุการณ์ความล้มเหลวของความเป็นเจ้าของ (ID เหตุการณ์ 1137)

บันทึก SDDL ก่อนหน้า (แนะนํา)

วิธีคืนค่า ACL ก่อนหน้า

การอ้างอิงเหตุการณ์

บันทึกการเปลี่ยนแปลง

ข้อมูลนี้มีประโยชน์หรือไม่

ขอบคุณสำหรับคำติชมของคุณ!