CVE-2026-56155: посилення ACL контейнера розподіленого диспетчера ключів AD FS

1. Щоб приєднатися до виправлення, установіть для розділу реєстру RemediateDkmAcl значення 1. Докладні відомості див. в розділі про Windows Server 2016 і пізніші версії в розділі "Виправлення за згодою".

2. Якщо розділ реєстру не буде налаштовано, оновлення автоматично виправить незахищені списки керування доступом (ACL) до 13 жовтня 2026 року. Щоб відмовитися від автоматичного виправлення, установіть для розділу реєстру значення 0.

1. Надання дозволів обліковому запису служби AD FS для виправлення цієї ситуації див. розділ "Виправлення за згодою" на Windows Server 2012 і Windows Server 2012 R2.

2. Після цього підпишіться на виправлення, установивши для розділу реєстру RemediateDkmAcl значення 1.

Після інсталяції оновлення за липень 2026 р. виявлення автоматично запускається через хвилину після запуску служби AD FS і кожні 24 години після цього. Перевірте журнал подій AD FS/AdminAdmin на наявність наведених нижче подій.

Примітка У режимі аудиту не вносяться автоматичні зміни до ACL.

Ознайомтеся з наведеними нижче вказівками щодо виправлення неполадок для конкретної платформи.

Windows ServerWindows Server 2016 і пізніших версій

Ми наполегливо рекомендуємо адміністраторам вжити заходів для виявлення та вирішення проблем сумісності до початку застосування в жовтні 2026 року. Щоб увімкнути виправлення, установіть наведений нижче розділ реєстру на будь-якому сервері AD FS у фермі.

Після налаштування розділу реєстру:

• Зачекайте до 24 годин до наступного циклу виявлення, або

• Перезапустіть службу AD FS, щоб швидше ініціювати виправлення

Після успішного виправлення подія 1135 (Відомості) реєструється разом із попереднім ACL у форматі SDDL.

Windows ServerWindows Server 2012 та Windows ServerWindows Server 2012 R2

Для цих платформ надайте потрібні дозволи обліковому запису служби AD FS, виконавши наведені нижче дії на будь-якому сервері AD FS у фермі, перш ніж активувати реєстр RemediateDkmAcl . В іншому разі спроби виправлення будуть невдалими.

1. Ідентифікуємо контейнер ДКМ ДН:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Визначте обліковий запис служби AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Надайте явний дозвіл ACE для WriteOwner і WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Після надання потрібних дозволів установіть наведений нижче розділ реєстру на будь-якому сервері AD FS у фермі, щоб увімкнути засоби виправлення.

   Інформація	Деталі
   Розділ реєстру	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Value: (Значення):	RemediteDkmAcl
   Тип:	DWORD
   Дані:	1
   Примітка.	Якщо елемент "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" відсутній, спочатку створіть розділ "ADFS", а потім задайте під цим розділом значення RemediateDkmAcl .

5. Після налаштування розділу реєстру:

• Зачекайте до 24 годин до наступного циклу виявлення, або

• Перезапустіть службу AD FS, щоб швидше ініціювати виправлення

Після успішного виправлення подія 1135 (Відомості) реєструється разом із попереднім ACL у форматі SDDL.

Збереження попереднього SDDL (рекомендовано)

Як запобіжний захід ми рекомендуємо приберегти попередній ACL (SDDL) від події 1135 після успішного виправлення. Хоча попередній ACL не має потреби в більшості випадків (оскільки початкові дозволи були незахищені), його наявність гарантує безпеку від будь-яких непередбачених проблем із сумісністю.

Примітка Журнали подій можуть переноситися через обмеження розміру. Якщо в майбутньому вам знадобиться попереднє SDDL, а подію буде перезаписано, її буде втрачено остаточно.

Щоб зберегти код SDDL у файл:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Як відновити попередній ACL

Якщо після виправлення виникають проблеми та потрібно повернутися до попереднього списку керування доступом ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Примітка Ця команда вимагає, щоб обліковий запис, який її виконує, мав SeSecurityPrivilege (зазвичай це є в адміністраторів домену). Запустіть це з сеансу PowerShell із правами адміністратора на комп'ютері, підключеному до домену.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Після відновлення встановіть значення RemediateDkmAcl = 0 , щоб запобігти повторному виправленню служби в наступному циклі.

Починаючи з оновлення за жовтень 2026 р., виправлення виконується за замовчуванням без ключа реєстру. Така поведінка еквівалентна тому, що параметр RemediateDkmAcl = 1 .

Автоматичне виправлення примусового застосування не застосовується до Windows ServerWindows Server 2012 або Windows ServerWindows Server 2012 R2. Для таких платформ виконуйте виправлення вручну, дотримуючись інструкцій, описаних у розділі "Виправлення" Windows Server 2012 і Windows Server 2012 R2.

Якщо потрібно вимкнути автоматичне виправлення після оновлення за жовтень 2026 р., установіть значення RemediteDkmAcl у реєстрі.

Це явно вимикає засоби виправлення. Виявлення (подія 1132) продовжує спрацьовувати, тому адміністратори знають про незахищений стан.

Важливо Відмова робить ваш контейнер DKM вразливим. Використовуйте цей елемент, якщо у вас є певні вимоги до сумісності та ви плануєте вручну посилити ACL.