CVE-2026-56155 ADFS Elevation of Privilege: Die aktiv ausgenutzte Schwachstelle, die Sysadmins immer noch nicht gepatcht haben

CVE-2026-56155 ADFS elevation of privilege ist eine aktiv ausgenutzte Schwachstelle in Active Directory Federation Services (AD FS), die Microsoft in seinen Sicherheitsupdates vom 14. Juli 2026 gepatcht hat — nachdem Angreifer sie bereits ausnutzten. CISA hat die Schwachstelle am selben Tag in ihren Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, mit einer Behebungsfrist für Bundesbehörden bis zum 28. Juli 2026. Zwei Wochen nach dieser Frist ist die Ausnutzung laut öffentlichen Berichten in Umgebungen, die das Update nicht angewendet oder sich nicht für die nachfolgende Härtung entschieden haben, weiterhin aktiv.

Dieser Artikel hält sich eng an das, was Microsofts eigener Advisory und Support-Dokumentation, NVD, CISA und unabhängige Sicherheitsmedien veröffentlicht haben. Er reproduziert keinen Exploit-Code und erfindet keine technischen Details über das hinaus, was diese Quellen beschreiben.

Einen Blick darauf, wie ACL-Fehlkonfigurationen bereits ohne jede CVE-Beteiligung zu einer vollständigen Domain-Kompromittierung führen, finden Sie unter ACL-Missbrauch und DCSync: Wie stille Rechte Domain Admin öffnen. CVE-2026-56155 ist ein anderer Mechanismus als die AD CS-Enrollment-Schwachstelle, die in Certighost CVE-2026-54121 ADCS: Nutzer mit geringen Rechten können einen Domänencontroller imitieren behandelt wird — jener Bug missbraucht die Zertifikatregistrierung; dieser hier missbraucht die ACL, die den eigenen Schlüsselschutz-Container von AD FS schützt. Wie privilegierte Rechte selbst nach dem Patchen einer solchen CVE wieder in eine Umgebung zurückkriechen, zeigt Privilegierter Zugriff Drift Active Directory: Warum Adminrechte nach Audits zurückkehren.

CVE-2026-56155 ADFS Elevation of Privilege: Was es ist

CVE-2026-56155 ist als Wichtig eingestuft, mit einem CVSS-3.1-Basiswert von 7,8 (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) und klassifiziert unter CWE-1220 (Insufficient Granularity of Access Control). Microsofts Advisory beschreibt es wie folgt: "Insufficient granularity of access control in Active Directory Federation Services (AD FS) allows an authorized attacker to elevate privileges locally."

Öffentliche Berichte (Tenable, The Hacker News) schreiben die Entdeckung Microsofts eigenem Detection and Response Team (DART) zu, das während aktiver Incident-Response-Arbeit darauf stieß und nicht im Rahmen proaktiver Forschung — das heißt, Angreifer nutzten diese Schwachstelle bereits, bevor Microsoft oder die breitere Community davon wussten. Sie wurde im Rahmen von Microsofts Patch Tuesday am 14. Juli 2026 zusammen mit einem zweiten aktiv ausgenutzten Zero-Day in SharePoint Server (CVE-2026-56164) veröffentlicht. CISAs KEV-Eintrag listet das betroffene Produkt schlicht als "Active Directory Federation Services" und verlangt von Behörden, "Abhilfemaßnahmen gemäß den Herstelleranweisungen anzuwenden".

Betroffene AD FS-Rollen laufen unter Windows Server 2012 und 2012 R2 (mit Extended Security Updates), Windows Server 2016, 2019, 2022 und 2025.

Wie die Schwachstelle funktioniert

AD FS verwendet einen Distributed Key Manager (DKM)-Container, ein in Active Directory gespeichertes Objekt, um die symmetrischen Schlüssel zu halten, die die privaten Schlüssel hinter den Token-Signatur- und Token-Verschlüsselungszertifikaten von AD FS schützen. Jeder Server in einer AD FS-Farm liest diesen Container, um dasselbe Signaturmaterial gemeinsam zu nutzen. Laut Microsofts Support-Dokumentation zum Fix (KB5121391) war die Zugriffskontrollliste des Containers zu freizügig: Prinzipale außerhalb der vorgesehenen Gruppe konnten das DKM-Objekt lesen oder ändern, und ein Angreifer mit diesem Zugriff konnte darauf hinarbeiten, das geschützte Token-Signaturschlüsselmaterial zu entschlüsseln und zum Administrator zu eskalieren.

Microsofts gehärtete Baseline beschränkt den Zugriff auf den DKM-Container auf nur vier Prinzipale:

Die Behebung deaktiviert die ACL-Vererbung für den Container und verwirft jeden geerbten Zugriffssteuerungseintrag, wodurch jede Allow-Berechtigung außerhalb dieser Baseline entfernt wird.

Erkennung

Öffentliche Berichte zur Incident-Response-Entdeckung beschreiben über dieses Audit-Ereignis hinaus keine AD FS-spezifische Ausnutzungssignatur. Für breitere AD FS-/Domänencontroller-Protokollabdeckung siehe Active Directory Monitoring: Sicherheitsereignis-IDs, die zählen. Behandeln Sie das Fehlen von 1132-Warnungen zusammen mit bestätigter KB5121391-Installation und aktiviertem RemediateDkmAcl als den konkreten Beweis für einen gehärteten Container, anstatt eine Kompromittierung allein aus dem Ereignisvolumen abzuleiten.

Behebung

1. Patchen Sie zuerst jeden AD FS-Server. Installieren Sie das kumulative Sicherheitsupdate Ihres Betriebssystems vom 14. Juli 2026 (oder später) flächendeckend — die KB variiert je nach Betriebssystem: KB5099445 (Windows Server 2012), KB5099444 (2012 R2), KB5099535 (2016), KB5099538 (2019), KB5099540 (2022), KB5099536 (2025). KB5121391 ist Microsofts Erklärartikel zu diesem ACL-Härtungsverhalten, selbst kein installierbares Update. Die alleinige Installation des kumulativen Updates aktiviert nur den Audit-Modus — es ändert noch keine ACL.
2. Entscheiden Sie sich jetzt für die Behebung, statt auf die Erzwingung zu warten:
   • Windows Server 2016 und höher: Setzen Sie HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl auf 1.
   • Windows Server 2012 / 2012 R2 (ESU): Gewähren Sie dem AD FS-Dienstkonto zunächst die Berechtigungen WriteOwner und WriteDacl für den DKM-Container, und setzen Sie dann denselben Registrierungswert.
3. Verfolgen Sie das Erzwingungsdatum. Die automatische Behebung beginnt am 13. Oktober 2026 für Windows Server 2016 und höher, die sich nicht manuell dafür entschieden haben; Windows Server 2012 und 2012 R2 erfordern auch nach diesem Datum stets eine manuelle Behebung.
4. Validieren. Bestätigen Sie nach der Behebung, dass die ACL des DKM-Containers Microsofts Baseline entspricht (Tabelle oben), und bestätigen Sie, dass Token-Signierung, Relying-Party-SSO und Federation-Metadaten weiterhin normal funktionieren.

# Bestätigen Sie, dass das kumulative Update Ihres Betriebssystems vom Juli 2026+ installiert ist, bevor Sie Audit-Modus-Stille vertrauen
# Verwenden Sie die zu Ihrem Betriebssystem passende KB aus Schritt 1 oben, z. B. KB5099538 für Windows Server 2019
Get-HotFix -Id KB5099538 -ErrorAction SilentlyContinue

🚨 Gefahr: Das Setzen von RemediateDkmAcl auf 0 verzichtet vollständig auf die Härtung. Microsofts eigene Anleitung besagt, dass der Container in diesem Zustand "verwundbar bleibt" — verwenden Sie es nur, um ein kontrolliertes Rollout zu inszenieren, niemals als dauerhafte Haltung.

CISAs Behebungsfrist für Bundesbehörden für diese CVE war der 28. Juli 2026 — bereits verstrichen. Jede AD FS-Umgebung, die heute noch ungepatcht ist oder noch auf den Standardeinstellungen (nur Audit) läuft, überschreitet sowohl den Zeitplan des Herstellers als auch den der US-Regierung selbst.

Wie EtcSec dies erkennt

Keine Prüfung im EtcSec-Katalog zielt bisher speziell auf die ACL des AD FS-DKM-Containers ab — dies ist eine echte Lücke, die die CVE aufgedeckt hat, keine, die von bestehenden Erkennungen abgedeckt wird. Sie liegt nahe an Fähigkeiten, die der Katalog bereits prüft: ACL GenericAll, ACL WriteDACL und ACL WriteOwner markieren alle dieselbe Klasse übermäßig weitreichender objektbezogener Berechtigungen, die diesen Container ausnutzbar machten, und Privileged Access Review Required markiert Umgebungen, in denen niemand regelmäßig überprüft, wer solche Rechte besitzt. Keine davon ersetzt die direkte Bestätigung des KB5121391- und RemediateDkmAcl-Status — diese Patch- und Registrierungsprüfung ist die konkrete Maßnahme, die heute zu ergreifen ist, noch vor jeder toolbasierten Erkennung.

Primärquellen

• NVD: CVE-2026-56155
• Microsoft Security Response Center: CVE-2026-56155 advisory
• Microsoft Support: KB5121391 — CVE-2026-56155 AD FS DKM container ACL hardening
• CISA Known Exploited Vulnerabilities Catalog: CVE-2026-56155
• Tenable: Microsoft's July 2026 Patch Tuesday Addresses 569 CVEs (CVE-2026-56155, CVE-2026-56164)
• The Hacker News: Microsoft Patches Record 622 Flaws, Including Two Zero-Days Under Active Attack
• Cyberpress: Microsoft Active Directory FS Privilege Escalation Flaw Exploited in Active Attacks