CVE-2026-56155：AD FS 分散式金鑰管理器容器 ACL 強化

1. 請將 RemediateDkmAcl 登錄檔金鑰設為 1 來選擇參與修復。 更多資訊請參閱 Windows Server 2016 及以後版本的 Opt-in 修復專題。

2. 到 2026 年 10 月 13 日，如果登錄檔金鑰未設定，更新將自動修復不安全的 ACL。 要選擇退出自動修復，請將登錄檔金鑰設為 0。

1. 授予 AD FS 服務帳號修復權限，請參見 Windows Server 2012 與 Windows Server 2012 R2 主題，該主題位於選擇加入修復區塊。

2. 之後，請選擇透過將 RemediateDkmAcl 登錄檔金鑰設為 1 來選擇參與修復。

安裝 2026 年 7 月更新後，偵測會在 AD FS 服務開始後一分鐘自動執行，之後每 24 小時執行一次。 請查看 AD FS/管理員事件日誌，了解以下事件。

註 審計模式下不會自動更改 ACL。

請使用下方平台專屬的修復指引。

Windows Server 2016 及更新版本

我們強烈建議管理員在稽核模式階段進行補救，以在2026年10月執行前識別並解決任何相容性問題。 要啟用修復，請在農場內 任一 AD FS 伺服器 上設定以下登錄檔金鑰。

設定登錄檔金鑰後，可以選擇：

• 等待下一次偵測週期最多24小時，或

• 重新啟動 AD FS 服務以更快觸發修復

修復成功後，事件 1135 (資訊) 會以 SDDL 格式與先前的 ACL 一起記錄。

Windows Server 2012 和 Windows Server 2012 R2

對於這些平台，請在啟用 RemediateDkmAcl 登錄檔前，依照以下步驟，對農場內任一 AD FS 伺服器授予 AD FS 服務帳號所需的權限。 否則，修復嘗試將失敗。

1. 識別 DKM 容器 DN：

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. 識別 AD FS 服務帳號：

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. 明確授予 WriteOwner 與 WriteDacl 的 ACE：

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. 在獲得所需權限後，請在農場中任一 AD FS 伺服器上設定以下登錄金鑰以啟用修復。

   資訊	詳細資料
   登錄機碼	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   價值：	RemediateDkmacl
   類型：	DWORD
   資料:	1
   附註	如果沒有「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS」，請先建立「ADFS」金鑰，然後在該金鑰下設定 RemediateDkmAcl 。

5. 設定登錄檔金鑰後，可以選擇：

• 等待下一次偵測週期最多24小時，或

• 重新啟動 AD FS 服務以更快觸發修復

修復成功後，事件 1135 (資訊) 會以 SDDL 格式與先前的 ACL 一起記錄。

儲存之前的 SDDL (推薦)

作為預防措施，我們建議在成功修復後保存事件1135的先前ACL (SDDL) 。 雖然 (多數情況下不需要先前的 ACL，因為原始權限) 不安全，但擁有它可作為安全網，以防任何突發的相容性問題。

註 事件日誌可能會因大小限制而被轉換。 如果你未來需要之前的 SDDL，而事件已被覆寫，該事件將永久遺失。

要將 SDDL 儲存為檔案：

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

如何恢復先前的前十字韌帶

如果修復後出現問題，需要回復到之前的ACL：

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

註 此指令要求執行該指令的帳號擁有 SeSecurityPrivilege， (通常網域管理員會有此) 。 從一個提升的 PowerShell 會話，在一台已加入網域的機器上執行。

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

恢復後，設定 RemediateDkmAcl = 0 ，防止服務在下一個週期重新修復。

從 2026 年 10 月更新開始，修復作業預設執行，無需登錄檔金鑰。 此行為相當於 RemediateDkmAcl = 1 的設定。

強制自動修復不適用於 Windows Server 2012 或 Windows Server 2012 R2。 針對這些平台，請手動依照 Windows Server 2012 及 Windows Server 2012 R2 主題中的「選擇加入修復」部分進行修復。

如果你需要在 2026 年 10 月更新後停用自動修復，請在登錄檔中設定 RemediateDkmAcl 值。

這明確禁止修復。 偵測 (事件 1132) 持續觸發，讓管理員知道這個不安全的狀態。

重要 退出會讓你的 DKM 容器變得脆弱。 只有當你有特定的相容性要求，並打算手動硬化 ACL 時才使用這個方法。