CVE-2026-56155: Tăng cường ACL bộ chứa Trình quản lý khóa được phân phối AD FS

Áp dụng cho

Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server 2025

Ngày xuất bản ban đầu: Ngày 14 tháng 7 năm 2026
ID KB: 5121391

Trong bài viết này

Tóm tắt
Hành động
Các thay đổi trạng thái bảo mật dự kiến
Chọn không sử dụng tính năng tự động khắc phục
Trường hợp sự kiện không thể sở hữu (ID sự kiện 1137)
Lưu SDDL trước đó (Được đề xuất)
Cách khôi phục ACL trước đó
Tham chiếu sự kiện
Nhật ký thay đổi

Tóm tắt

Danh sách kiểm soát truy nhập (ACL) trên bộ chứa Trình quản lý khóa phân phối () đã bước vào giai đoạn cứng hóa đầu tiên với bản cập nhật bảo mật Windows ngày 14 tháng 7 năm 2026, giới thiệu tính năng phát hiện tự động các ACL không an toàn và cơ chế khắc phục chọn tham gia.

Bắt đầu từ bản cập nhật bảo mật Windows ngày 13 tháng 10 năm 2026, AD FS tự động khắc phục ACL bộ chứa không an toàn theo mặc định. Người quản trị có thể chọn không tham gia bằng cách đặt RemediateDkmAcl về 0. Nỗ lực tăng cường này giải quyết sự cố nâng đặc quyền (EOP) có thể phát sinh từ lỗ hổng được ghi lại trong CVE-2026-56155 | Active Directory Federation Services Lỗ hổng nâng đặc quyền.

Tóm lại, Active Directory Federation Services (AD FS) dựa vào bộ chứa để lưu trữ các khóa đối xứng được sử dụng để bảo vệ chứng chỉ ký mã thông báo và mã hóa mã thông báo cho các khóa riêng. Nếu ACL của vùng chứa quá dễ dãi, kẻ tấn công có quyền truy nhập đọc vào tài liệu khóa có thể giải mã các khóa riêng ký mã thông báo.

quay lại đầu trang

Hành động

Để bảo vệ môi trường của bạn, hãy hoàn thành các bước sau đây:

Cài đặt bản cập nhật bảo mật Windows thích hợp được phát hành vào hoặc sau ngày 13 tháng 10 năm 2026 trên tất cả các máy chủ AD FS.

Quan trọng

Trước khi cài đặt bản cập nhật bảo mật, hãy xác định xem bạn có cần chọn không tham gia tính năng khắc phục sự cố tự động hay không. Bạn không nên chọn không tham gia vì việc này sẽ khiến ACL bộ chứa ở trạng thái không an toàn.

Nếu bạn phải chọn không tham gia đối với một yêu cầu tương thích cụ thể, hãy đặt sổ đăng ký RemediateDkmAcl về 0 trên mọi máy chủ AD FS trong cụm máy chủ trước khi cài đặt bản cập nhật. Bộ chứa là một đối tượng Active Directory đơn được chia sẻ bởi tất cả máy chủ AD FS trong cụm máy chủ và tác vụ nền ACL chạy trên từng máy chủ. Nếu RemediateDkmAcl bị thiếu hoặc được đặt thành giá trị khác 0 thậm chí trên một máy chủ AD FS, máy chủ đó có thể tự động khắc phục ACL bộ chứa dùng chung sau khi cài đặt bản cập nhật.

Sau khi cài đặt, dịch vụ AD FS kiểm tra ACL bộ chứa mỗi lần dịch vụ bắt đầu và sau đó cứ 24 giờ một lần. Nếu ACL không an toàn, AD FS sẽ tự động khắc phục trừ khi RemediateDkmAcl được đặt thành 0.
Xem lại nhật ký sự kiện Người Quản trị AD FS cho các sự kiện sau:
- ID sự kiện: 1133 cho biết ACL bộ chứa là bảo mật. Không có hành động nào được yêu cầu thêm.
- ID sự kiện: 1132 cho biết ACL bộ chứa không an toàn và tự động khắc phục sẽ được thực hiện. Chi tiết ACL được ghi vào một hoặc nhiều mục nhập ID Sự kiện 510 tiếp theo có cùng ID Phiên bản. Xem lại ID Sự kiện 1135, 1136 hoặc 1137 để biết kết quả khắc phục và thực hiện hành động sau đây dựa trên kết quả.
- ID sự kiện: 1135 (khắc phục thành công) Không cần hành động khắc phục thêm. Lưu ACL trước đó từ các mục nhập ID sự kiện 510 tiếp theo như được mô tả trong mục Lưu SDDL trước đó.
- ID sự kiện: 1136 (khắc phục không thành công) Xem lại các mục nhập Sự kiện ID 510 tiếp theo để biết ACL hiện tại và chi tiết ngoại lệ, sửa lỗi cơ bản, rồi khởi động lại dịch vụ AD FS hoặc chờ chu kỳ phát hiện tiếp theo.
- ID sự kiện: 1137 (thay đổi quyền sở hữu không thành công) Cấp quyền WriteOwner và WriteDacl cho tài khoản dịch vụ AD FS bằng cách làm theo hướng dẫn trường hợp sự kiện Lỗi Quyền sở hữu, rồi khởi động lại dịch vụ AD FS hoặc chờ chu kỳ phát hiện tiếp theo.

Sự kiện ACL bộ chứa AD FS

ID Sự kiện	Loại	Ý nghĩa
1132	Cảnh báo	ACL bộ chứa không khớp với trạng thái bảo mật dự kiến. Xem lại các sự kiện khắc phục 1135, 1136 và 1137.
1133	Thông tin	ACL bộ chứa đang ở trạng thái bảo mật dự kiến. Không cần thực hiện thêm thao tác nào.
1134	Lỗi	Tác vụ phát hiện đã gặp lỗi (chẳng hạn như lỗi kết nối LDAP). Xem lại nhật ký gỡ lỗi AD FS và sửa lỗi cơ sở.
1135	Thông tin	Đã hoàn tất khắc phục ACL vùng chứa. Lưu SDDL trước đó.
1136	Lỗi	Khắc phục ACL vùng chứa không thành công. Xem lại các mục nhập tương quan với ID sự kiện 510 và theo dõi Gỡ lỗi AD FS và sửa lỗi cơ bản.
1137	Lỗi	AD FS không thể sở hữu bộ chứa vì tài khoản dịch vụ thiếu các quyền bắt buộc. Cấp các quyền cần thiết
510	Thông tin	Chứa chi tiết ACL hoặc ngoại lệ tràn từ ID Sự kiện 1132, 1135 hoặc 1136. Khớp các mục nhập theo ID Phiên bản.

quay lại đầu trang

Các thay đổi trạng thái bảo mật dự kiến

Sau khi khắc phục, chỉ những người chính sau đây sẽ có quyền truy nhập vào bộ chứa:

Principal	Quyền truy cập
Người quản trị Miền	Chung Tất cả (Toàn quyền Kiểm soát)
Người quản trị Doanh nghiệp	Chung Tất cả (Toàn quyền Kiểm soát)
Hệ thống	Chung Tất cả (Toàn quyền Kiểm soát)
Tài khoản Dịch vụ AD FS	Đọc, viết, tạo con, ghi chủ sở hữu, xóa cây

Lưu ý Kế thừa bị vô hiệu hóa và tất cả các ACE thừa hưởng sẽ bị loại bỏ. Bất kỳ ACE cho phép rõ ràng nào khác không có trong danh sách trên sẽ bị loại bỏ.

quay lại đầu trang

Chọn không sử dụng tính năng tự động khắc phục

Quan trọng

Mục, phương pháp hoặc tác vụ này chứa thông tin về cách thay đổi sổ đăng ký. Tuy nhiên, vấn đề nghiêm trọng có thể xảy ra nếu bạn thay đổi sổ đăng ký không đúng cách. Do đó, hãy đảm bảo rằng bạn làm theo các bước sau đây một cách cẩn thận. Để bảo vệ tốt hơn, hãy sao lưu sổ đăng ký trước khi bạn thay đổi nó. Sau đó, bạn có thể khôi phục sổ đăng ký nếu có sự cố xảy ra. Để biết thêm thông tin về cách sao lưu và khôi phục sổ đăng ký, hãy xem Cách sao lưu và khôi phục sổ đăng ký trong Windows.

Khắc phục được bật theo mặc định khi RemediateDkmAcl bị thiếu hoặc được đặt thành giá trị khác không. Nếu bạn phải chọn không tham gia vì một yêu cầu cụ thể về tương thích, hãy đặt giá trị là 0 trên mọi máy chủ AD FS trong cụm máy chủ trước khi cài đặt bản cập nhật. Bạn không nên chọn không tham gia vì việc này sẽ khiến ACL bộ chứa ở trạng thái không an toàn.

Thông tin	Chi tiết
Khóa đăng ký:	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
Giá trị:	RemediateDkmAcl
Kiểu:	DWORD
Dữ liệu:	0

quay lại đầu trang

Trường hợp sự kiện không thể sở hữu (ID sự kiện 1137)

ID sự kiện: 1137 chỉ ra rằng AD FS không thể sở hữu bộ chứa vì tài khoản dịch vụ thiếu các quyền cần thiết. Tình trạng này xảy ra thường xuyên nhất trên các cụm máy chủ ban đầu được tạo trên Windows Server 2012 hoặc Windows Server 2012 R2. Trong trường hợp này, cấp các quyền bắt buộc cho tài khoản dịch vụ AD FS bằng cách làm theo các bước dưới đây trên một máy chủ AD FS bất kỳ trong cụm máy chủ. Nếu không, các nỗ lực khắc phục sẽ tiếp tục thất bại.

Xác định DN vùng chứa:


$dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
$dkmContainerDn

Xác định tài khoản dịch vụ AD FS:


$serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
$serviceAccount

Cấp phép ACE rõ ràng cho WriteOwner và WriteDacl:


$sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
$rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
 $sid, 
 ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
 [System.Security.AccessControl.AccessControlType]::Allow, 
 [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
) 
$entry.ObjectSecurity.AddAccessRule($rule) 
$entry.CommitChanges() 
$entry.Close()

Sau khi các quyền bắt buộc được cấp, hoặc là bạn:
- Chờ tối đa 24 giờ cho chu kỳ phát hiện tiếp theo
- Khởi động lại dịch vụ AD FS để kích hoạt khắc phục sớm hơn

Khi khắc phục thành công, ID sự kiện: 1135 (Thông tin) được ghi nhật ký với ACL trước đó ở định dạng SDDL.

quay lại đầu trang

Lưu SDDL trước đó (Được đề xuất)

Để phòng ngừa, chúng tôi khuyên bạn nên lưu ACL (SDDL) trước đó từ ID sự kiện: 510 mục nhập tương quan với ID sự kiện: 1135 sau khi khắc phục thành công. ID sự kiện: 1135 chứa ID phiên bản được sử dụng để xác định mục nhập liên quan về ID sự kiện: 510. Mặc dù ACL trước đó dự kiến không cần thiết trong hầu hết các trường hợp (vì các quyền ban đầu không an toàn), việc có ACL sẽ cung cấp một mạng lưới an toàn cho bất kỳ vấn đề tương thích không lường trước nào.

Lưu ý

Nhật ký sự kiện có thể kéo qua do giới hạn kích cỡ. Nếu bạn cần SDDL trước đó trong tương lai và sự kiện đã bị ghi đè, nó sẽ bị mất vĩnh viễn.

Bạn có thể sao chép và kết hợp SDDL theo cách thủ công từ ID sự kiện: 510 mục nhập có ID Phiên bản được tham chiếu bởi ID sự kiện: 1135. Ngoài ra, hãy sử dụng tập lệnh PowerShell sau đây để thu thập ID sự kiện tương quan: 510 mục nhập và lưu SDDL vào một tệp:


New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

quay lại đầu trang

Cách khôi phục ACL trước đó

Nếu bạn gặp sự cố sau khi khắc phục và cần hoàn nguyên về ACL trước đó:


# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close()

Lưu ý

Lệnh này yêu cầu tài khoản đang chạy lệnh này phải có SeSecurityPrivilege (thường Người quản trị Miền có lệnh này). Chạy ứng dụng này từ phiên PowerShell nâng cao trên máy tính đã nối với tên miền.


Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord

Sau khi khôi phục, hãy đặt RemediateDkmAcl = 0 trên mọi máy chủ AD FS trong cụm máy chủ để ngăn dịch vụ khắc phục lại vào chu kỳ tiếp theo.

quay lại đầu trang

Tham chiếu sự kiện

ID sự kiện: 1132 — ACL bộ chứa cần được xem lại

Thông tin	Chi tiết
Nhật ký sự kiện	AD FS/Quản trị viên
Loại sự kiện	Cảnh báo
Nguồn sự kiện	AD FS
ID Sự kiện	1132
Văn bản sự kiện	AD FS đã phát hiện ACL bộ chứa Trình quản lý Khóa Phân phối () không khớp với trạng thái bảo mật dự kiến. Bộ chứa lưu trữ các khóa đối xứng được sử dụng để bảo vệ tài liệu khóa ký mã thông báo. DN vùng chứa: <DN> Trạng thái bảo mật được mong đợi là vô hiệu hóa tính năng kế thừa và chỉ Người quản trị Miền, Người quản trị Doanh nghiệp, HỆ THỐNG và tài khoản dịch vụ AD FS mới có quyền truy nhập. AD FS sẽ tự động khắc phục ACL. Quá trình khắc phục sẽ chạy ngay lập tức và cứ 24 giờ một lần sau đó cho đến khi ACL khớp với trạng thái bảo mật dự kiến. Xem sự kiện 1135 (khắc phục thành công) hoặc sự kiện 1136/1137 (khắc phục không thành công) để biết kết quả. Nếu bạn muốn chọn không tham gia tính năng tự khắc phục, hãy đặt HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) thành 0. Để biết hướng dẫn, hãy xem .https://go.microsoft.com/fwlink/?linkid=2369796 Dữ liệu bổ sung Đã vô hiệu hóa Kế thừa: <Có/Không> ACL hiện tại (SDDL): Xem các mục sự kiện 510 với ID Phiên bản: <ID Phiên bản>

ID sự kiện: 1133 — ACL bộ chứa hoạt động tốt

Thông tin	Chi tiết
Nhật ký sự kiện	AD FS/Quản trị viên
Loại sự kiện	Thông tin
Nguồn sự kiện	AD FS
ID Sự kiện	1133
Văn bản sự kiện	Tác vụ nền ACL của đã xem lại ACL của bộ chứa để tăng cường bảo mật. Vùng chứa có cài đặt chính xác và không cần thực hiện thêm thao tác nào. DN vùng chứa: <DN>

ID sự kiện: 1134 — Lỗi phát hiện

Thông tin	Chi tiết
Nhật ký sự kiện	AD FS/Quản trị viên
Loại sự kiện	Lỗi
Nguồn sự kiện	AD FS
ID Sự kiện	1134
Văn bản sự kiện	Tác vụ ACL kiểm tra nền bộ chứa AD FS đã gặp lỗi. DN vùng chứa: <DN> Dữ liệu bổ sung Chi tiết ngoại lệ: <ngoại lệ> Hành động của Người dùng Xem lại nhật ký gỡ lỗi AD FS để biết thêm chi tiết. Đảm bảo tài khoản dịch vụ AD FS có quyền truy nhập vào bộ chứa nhóm trong Active Directory.

ID sự kiện: 1135 — Khắc phục thành công

Thông tin	Chi tiết
Nhật ký sự kiện	AD FS/Quản trị viên
Loại sự kiện	Thông tin
Nguồn sự kiện	AD FS
ID Sự kiện	1135
Văn bản sự kiện	AD FS đã củng cố thành công ACL bộ chứa Trình quản lý Khóa Phân phối (). DN vùng chứa: <DN> ACL của bộ chứa hiện chỉ cấp quyền truy nhập cho Người quản trị Miền, Người quản trị Doanh nghiệp, HỆ THỐNG và tài khoản dịch vụ AD FS. Kế thừa đã bị chặn và tất cả các quyền khác đã bị loại bỏ. Lưu ý: Tự động khắc phục sẽ không chạy lại trong khi ACL khớp với đường cơ sở. Nếu bạn muốn chọn vĩnh viễn không tham gia tính năng tự khắc phục ngay cả khi ACL trôi trong tương lai, hãy đặt HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) thành 0. ACL trước được bao gồm trong định dạng SDDL dưới đây. Nếu bạn cần khôi phục các quyền ban đầu, hãy xem https://go.microsoft.com/fwlink/?linkid=2369796 Dữ liệu bổ sung ACL trước đó (SDDL): Xem các mục sự kiện 510 với ID Phiên bản: <ID Phiên bản>

ID sự kiện: 1136 — Khắc phục không thành công

Thông tin	Chi tiết
Nhật ký sự kiện	AD FS/Quản trị viên
Loại sự kiện	Lỗi
Nguồn sự kiện	AD FS
ID Sự kiện	1136
Văn bản sự kiện	AD FS đã cố gắng khắc phục ACL bộ chứa Trình quản lý khóa phân phối () nhưng không thành công. DN vùng chứa: <DN> Hành động Tự động khắc phục của người dùng sẽ thử lại ở chu kỳ phát hiện tiếp theo (trong vòng 24 giờ). Nếu bạn muốn khắc phục ACL theo cách thủ công, hãy xem lại và sửa ACE trên bộ chứa nhóm. Chỉ Người quản trị Miền, Người quản trị Doanh nghiệp, HỆ THỐNG và tài khoản dịch vụ AD FS mới có quyền truy cập. Để tắt tính năng tự khắc phục, hãy đặt HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) thành 0. Để biết hướng dẫn, hãy xem https://go.microsoft.com/fwlink/?linkid=2369796 Dữ liệu bổ sung Chi tiết ACL hiện tại (SDDL) và ngoại lệ: Xem các mục sự kiện 510 với ID Phiên bản: <ID Phiên bản>

ID sự kiện: 1137 — Lỗi thay đổi quyền sở hữu

Thông tin	Chi tiết
Nhật ký sự kiện	AD FS/Quản trị viên
Loại sự kiện	Lỗi
Nguồn sự kiện	AD FS
ID Sự kiện	1137
Văn bản sự kiện	AD FS đã cố gắng khắc phục ACL bộ chứa Trình quản lý Khóa Phân phối () nhưng không thể sở hữu vì tài khoản dịch vụ AD FS không có các quyền bắt buộc. Đây là điều dự kiến đối với các cụm máy chủ ban đầu được tạo trên Windows Server 2012 hoặc Windows Server 2012 R2. DN vùng chứa: <DN> Hành động của Người dùng Cấp các quyền cần thiết cho tài khoản dịch vụ AD FS để quá trình khắc phục thành công. Tự động khắc phục sẽ thử lại vào chu kỳ phát hiện tiếp theo (trong vòng 24 giờ) hoặc khi khởi động lại dịch vụ. Nếu bạn muốn khắc phục ACL theo cách thủ công, hãy xem lại và sửa ACE trên bộ chứa nhóm. Chỉ Người quản trị Miền, Người quản trị Doanh nghiệp, HỆ THỐNG và tài khoản dịch vụ AD FS mới có quyền truy cập. Để tắt tính năng tự khắc phục, hãy đặt HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) thành 0. Để biết hướng dẫn, hãy xem https://go.microsoft.com/fwlink/?linkid=2369796

ID sự kiện: 510 — Thông tin ACL bổ sung

Thông tin	Chi tiết
Nhật ký sự kiện	AD FS/Quản trị viên
Loại sự kiện	Thông tin
Nguồn sự kiện	AD FS
ID Sự kiện	510
Văn bản sự kiện	Thông tin thêm về mục sự kiện với ID Bản <thể hiện ID Bản> sao. Có thể có nhiều sự kiện có cùng ID Phiên bản với nhiều thông tin hơn. ID Bản sao: <ID Bản thể hiện> Chi tiết: <ACL hoặc phân đoạn chi tiết ngoại lệ> Đối với ACL lớn, có thể ghi nhật ký nhiều mục nhập ID 510 Sự kiện. ID Sự kiện liên quan 1132, 1135 hoặc 1136 được ghi nhật ký đầu tiên, tiếp theo là các mục ID Sự kiện 510 có cùng ID Phiên bản.

quay lại đầu trang

Nhật ký thay đổi

Thay đổi ngày	Thay đổi mô tả
Ngày 13 tháng 10 năm 2026	Viết lại đầy đủ bài viết này cho bản phát hành ngày 13 tháng Mười năm 2026 Đã thêm ID Sự kiện mới 1137 và 510 trong mục Tham khảo sự kiện.

quay lại đầu trang

CVE-2026-56155: Tăng cường ACL bộ chứa Trình quản lý khóa được phân phối AD FS

Trong bài viết này

Tóm tắt

Hành động

Các thay đổi trạng thái bảo mật dự kiến

Chọn không sử dụng tính năng tự động khắc phục

Trường hợp sự kiện không thể sở hữu (ID sự kiện 1137)

Lưu SDDL trước đó (Được đề xuất)

Cách khôi phục ACL trước đó

Tham chiếu sự kiện

Nhật ký thay đổi

Thông tin này có hữu ích không?

Cảm ơn phản hồi của bạn!