CVE-2026-56155：AD FS 分布式密钥管理器容器 ACL 强化

1. 通过将 RemediateDkmAcl 注册表项设置为 1 来选择加入修正。 有关详细信息，请参阅选择加入修正部分中Windows Server 2016及更高主题。

2. 到 2026 年 10 月 13 日，如果未配置注册表项，更新将自动修正不安全的 ACL。 若要选择退出自动修正，请将注册表项设置为 0。

1. 授予 AD FS 服务帐户修正权限，请参阅选择加入修正部分中的Windows Server 2012和Windows Server 2012 R2 主题。

2. 之后，通过将 RemediateDkmAcl 注册表项设置为 1 来选择加入修正。

安装 2026 年 7 月更新后，检测在 AD FS 服务启动一分钟后自动运行，然后每隔 24 小时运行一次。 在 AD FS/管理员 事件日志中查看以下事件。

注意 在审核模式下，不会对 ACL 进行自动更改。

使用以下特定于平台的修正指南。

Windows Server 2016 及更高版本

我们强烈建议管理员在审核模式阶段进行修正，以在 2026 年 10 月开始实施之前识别并解决任何兼容性问题。 若要启用修正，请在场中的任何 一个 AD FS 服务器上 设置以下注册表项。

设置注册表项后，可以：

• 下一个检测周期最多等待 24 小时，或

• 重启 AD FS 服务以更快地触发修正

成功修正后，事件 1135 (信息) 记录为 SDDL 格式的前一个 ACL。

Windows Server 2012 和 Windows Server 2012 R2

对于这些平台，在启用 RemediateDkmAcl 注册表之前，在场中的任何一台 AD FS 服务器上执行以下步骤，向 AD FS 服务帐户授予所需的权限。 否则，修正尝试将失败。

1. 标识 DKM 容器 DN：

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. 标识 AD FS 服务帐户：

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. 为 WriteOwner 和 WriteDacl 授予显式允许 ACE：

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. 授予所需权限后，在场中的任何一个 AD FS 服务器上设置以下注册表项以启用修正。

   信息	详细信息
   注册表项	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   价值：	RemediateDkmAcl
   类型：	DWORD
   数据：	1
   注意	如果不存在“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS”，请先创建“ADFS”键，然后在该密钥下设置 RemediateDkmAcl 。

5. 设置注册表项后，可以：

• 下一个检测周期最多等待 24 小时，或

• 重启 AD FS 服务以更快地触发修正

成功修正后，事件 1135 (信息) 记录为 SDDL 格式的前一个 ACL。

保存以前的 SDDL (建议)

作为预防措施，建议在成功修正后，从事件 1135 中保存以前的 ACL (SDDL) 。 虽然在大多数情况下不需要以前的 ACL， (因为原始权限) 不安全，但提供它可为任何不可预见的兼容性问题提供安全网。

注意 由于大小限制，事件日志可能会滚动更新。 如果将来需要以前的 SDDL，并且事件已被覆盖，它将永久丢失。

将 SDDL 保存到文件：

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

如何还原以前的 ACL

如果在修正后遇到问题，并且需要还原以前的 ACL：

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

注意 此命令要求运行它的帐户具有 SeSecurityPrivilege (域管理员通常具有此) 。 在已加入域的计算机上，从提升的 PowerShell 会话运行此功能。

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

还原后，设置 RemediateDkmAcl = 0 以防止服务在下一个周期重新修正。

从 2026 年 10 月更新开始，修正默认运行，无需注册表项。 该行为等效于将 RemediateDkmAcl = 1 集。

强制自动修正不适用于Windows Server 2012或Windows Server 2012 R2。 对于这些平台，请按照选择加入修正部分中Windows Server 2012和Windows Server 2012 R2 主题中的步骤手动修正。

如果需要在 2026 年 10 月更新后禁用自动修正，请在注册表中设置 RemediateDkmAcl 值。

这会显式禁用修正。 检测 (事件 1132) 会继续触发，以便管理员知道不安全状态。

重要 选择退出会使 DKM 容器易受攻击。 仅当具有特定的兼容性要求并计划手动强化 ACL 时，才使用此选项。