Aktiv ausgenutzte Rechteausweitung in AD FS

Microsoft schließt mit den Windows-Sicherheitsupdates vom 14. Juli 2026 eine Rechteausweitung in Active Directory Federation Services. CVE-2026-56155 betrifft zu weit gefasste Zugriffsrechte am Distributed-Key-Manager-Container (DKM) in Active Directory. AD FS speichert dort Schlüsselmaterial zum Schutz der privaten Token-Signing- und Token-Encryption-Schlüssel.

Ein bereits autorisierter Angreifer mit lokalem Zugriff kann die fehlerhafte Berechtigungsstruktur für eine Ausweitung bis zu Administratorrechten nutzen. Microsoft bewertet die Schwachstelle mit CVSS 7,8 und bestätigt aktive Ausnutzung. Entscheidend ist deshalb nicht nur der Patchstand: Bestehende DKM-ACLs müssen geprüft und bei Abweichungen gehärtet werden.

Was das Juli-Update sichtbar macht

Nach der Installation läuft die DKM-ACL-Prüfung etwa eine Minute nach Start des AD-FS-Dienstes und danach alle 24 Stunden. Relevant ist das Protokoll AD FS/Admin:

  • Event 1132 warnt vor einer DKM-ACL außerhalb des sicheren Sollzustands.
  • Event 1133 bestätigt eine passende ACL.
  • Event 1134 zeigt einen Fehler der Prüfung, etwa bei LDAP-Problemen.

Der Juli-Stand arbeitet im Audit-Modus und ändert die ACL noch nicht automatisch. Ein fehlendes Event 1132 ist nur belastbar, wenn Event 1133 vorhanden ist und keine 1134-Fehler offen sind.

Kontrollierte Härtung der Farm

  1. Alle AD-FS-Knoten aktualisieren und Patchstand sowie Neustart je Farm dokumentieren.
  2. Events 1132 bis 1134 zentral auswerten und den gemeldeten Container-DN der richtigen Farm zuordnen.
  3. Abweichende ACEs klären: technische Konten, Backup-Software und historische Delegationen brauchen einen benannten Owner.
  4. Ab Windows Server 2016 Remediation testen: HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl als DWORD auf 1 setzen, kontrollierten Dienstneustart einplanen und Event 1135 prüfen. Die dort enthaltene vorherige SDDL sofort gesichert ablegen. Event 1136 kennzeichnet eine fehlgeschlagene Remediation.
  5. Token-Ausstellung und Vertrauensstellungen testen, bevor der Change auf weitere Farmen übertragen wird.

Windows Server 2012 und 2012 R2 benötigen vor der Remediation zusätzliche Berechtigungen für das AD-FS-Dienstkonto und bleiben auch später ein separater manueller Pfad.

Oktober-Automatik vorwegnehmen

Ab den Oktober-Updates 2026 wird die Remediation auf Windows Server 2016 und neuer standardmäßig aktiv. Der Sollzustand entfernt Vererbung und nicht vorgesehene Allow-ACEs; Zugriff behalten nur Domain Admins, Enterprise Admins, SYSTEM und das AD-FS-Dienstkonto mit den erforderlichen Rechten. Ungeprüfte Sonderberechtigungen können dann Betriebsstörungen verursachen.

Der wichtigste Sofortcheck: Juli-Updates auf allen AD-FS-Servern installieren, Events 1132 bis 1134 auswerten und gefundene DKM-ACL-Abweichungen jetzt kontrolliert bereinigen.