CVE-2026-56155: AD FS Dağıtılmış Anahtar Yöneticisi kapsayıcısı ACL sağlamlaştırma

1. RemediateDkmAcl kayıt defteri anahtarını 1 olarak ayarlayarak düzeltmeyi kabul edin. Daha fazla bilgi için Kabul etme düzeltmesi bölümündeki Windows Server 2016 ve sonraki konular başlığına bakın.

2. Kayıt defteri anahtarı yapılandırılmazsa 13 Ekim 2026'ya kadar güncelleştirme, güvenli olmayan ACL'leri otomatik olarak düzeltecektir. Otomatik düzeltmeyi geri çevirmek için kayıt defteri anahtarını 0 olarak ayarlayın.

1. AD FS hizmet hesabı izinleri verme Düzeltme için, Kabul etme düzeltmesi bölümündeki Windows Server 2012 ve Windows Server 2012 R2 konusuna bakın.

2. Bundan sonra, RemediateDkmAcl kayıt defteri anahtarını 1 olarak ayarlayarak düzeltmeyi kabul edin.

Temmuz 2026 güncelleştirmesini yükledikten sonra algılama, AD FS hizmeti başladıktan bir dakika sonra ve ardından her 24 saatte bir otomatik olarak çalışır. Aşağıdaki olaylar için AD FS/AdminYönetici olay günlüğünü kontrol edin.

Notlar Denetim Modu sırasında ACL'de otomatik değişiklik yapılmaz.

Aşağıdaki platforma özgü düzeltme kılavuzunu kullanın.

Windows Server 2016Windows Server 2016 and later

Yöneticilerin, Ekim 2026'da uygulama başlamadan önce uyumluluk sorunlarını belirlemek ve çözmek için Denetim Modu aşamasında düzeltmelerini kesinlikle öneririz. Düzeltmeyi etkinleştirmek için, gruptaki herhangi bir AD FS sunucusunda aşağıdaki kayıt defteri anahtarını ayarlayın.

Kayıt defteri anahtarını ayarladıktan sonra:

• Bir sonraki algılama döngüsü için 24 saate kadar bekleyin veya

• Düzeltmeyi daha erken tetiklemek için AD FS hizmetini yeniden başlatın

Başarılı bir düzeltmeden sonra, olay 1135 (Bilgi), SDDL biçiminde önceki ACL ile günlüğe kaydedilir.

Windows Server 2012Windows Server 2012 ve Windows Server 2012Windows Server 2012 R2

Bu platformlar için, RemediateDkmAcl kayıt defterini etkinleştirmeden önce gruptaki herhangi bir AD FS sunucusunda aşağıdaki adımları izleyerek AD FS hizmet hesabına gerekli izinleri verin. Aksi takdirde düzeltme girişimleri başarısız olur.

1. DKM kapsayıcı DN'sini tanımlayın:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. AD FS hizmet hesabını tanımlayın:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. WriteOwner ve WriteDacl için açık İzin Ver ACE'leri:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Gerekli izinler verildikten sonra, düzeltmeyi etkinleştirmek için gruptaki herhangi bir AD FS sunucusunda aşağıdaki kayıt defteri anahtarını ayarlayın.

   Bilgi	Detaylar
   Kayıt defteri anahtarı	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Değer:	RemediateDkmAcl
   Türü:	DWORD
   Veriler:	1
   Not	"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" yoksa, önce "ADFS" anahtarını oluşturun ve ardından bu anahtarın altında RemediateDkmAcl değerini ayarlayın.

5. Kayıt defteri anahtarını ayarladıktan sonra:

• Bir sonraki algılama döngüsü için 24 saate kadar bekleyin veya

• Düzeltmeyi daha erken tetiklemek için AD FS hizmetini yeniden başlatın

Başarılı bir düzeltmeden sonra, olay 1135 (Bilgi), SDDL biçiminde önceki ACL ile günlüğe kaydedilir.

Önceki SDDL'yi kaydetme (Önerilen)

İhtiyati bir önlem olarak, başarılı bir düzeltmeden sonra önceki ACL'yi (SDDL) olay 1135'ten kaydetmenizi öneririz. Çoğu durumda önceki ACL'ye ihtiyaç duyulması beklenmese de (özgün izinler güvensiz olduğundan), kullanılabilir olması öngörülemeyen uyumluluk sorunları için bir güvenlik ağı sağlar.

Notlar Olay günlükleri, boyut sınırları nedeniyle devredilebilir. Gelecekte önceki SDDL'ye ihtiyacınız varsa ve olayın üzerine yazılmışsa, kalıcı olarak kaybolacaktır.

SDDL'yi bir dosyaya kaydetmek için:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Önceki ACL'yi geri yükleme

Düzeltmeden sonra sorunlarla karşılaşırsanız ve önceki ACL'ye geri dönmeniz gerekirse:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Notlar Bu komut, onu çalıştıran hesabın SeSecurityPrivilege'a sahip olmasını gerektirir (genellikle Etki Alanı Yöneticileri'nde bu vardır). Bunu, etki alanına katılmış bir makinedeki yükseltilmiş PowerShell oturumundan çalıştırın.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Geri yükleme işleminden sonra, hizmetin bir sonraki döngüde yeniden düzeltilmesini önlemek için RemediateDkmAcl = 0 değerini ayarlayın.

Ekim 2026 güncelleştirmesinden itibaren düzeltme, kayıt defteri anahtarı gerektirmeden varsayılan olarak çalıştırılır. Davranış, RemediateDkmAcl = 1 kümesine sahip olmakla eşdeğerdir.

Zorlama otomatik düzeltme Windows Server 2012Windows Server 2012 veya Windows Server 2012Windows Server 2012 R2 için geçerli değildir. Bu platformlar için, Kabul etme düzeltmesi bölümündeki Windows Server 2012 ve Windows Server 2012 R2 konusunda yer alan adımları izleyerek el ile düzeltin.

Ekim 2026 güncelleştirmesinden sonra otomatik düzeltmeyi devre dışı bırakmanız gerekiyorsa kayıt defterinde RemediateDkmAcl değerini ayarlayın.

Bu açıkça düzeltmeyi devre dışı bırakır. Algılama (olay 1132) tetiklenmeye devam eder, bu nedenle yöneticiler güvenli olmayan durumun farkındadır.

Önemli Devre dışı bırakmak, DKM kapsayıcınızı savunmasız bırakır. Bunu yalnızca belirli bir uyumluluk gereksiniminiz varsa ve ACL'yi el ile sağlamlaştırmayı planlıyorsanız kullanın.