CVE-2026-56155 ADFS Elevazione di Privilegi: la falla attivamente sfruttata che i sysadmin non hanno ancora corretto

CVE-2026-56155 ADFS elevazione di privilegi è una vulnerabilità attivamente sfruttata in Active Directory Federation Services (AD FS) che Microsoft ha corretto con gli aggiornamenti di sicurezza del 14 luglio 2026 — dopo che gli attaccanti la stavano già usando. La CISA ha aggiunto la falla al proprio catalogo Known Exploited Vulnerabilities (KEV) lo stesso giorno, con una scadenza di remediation per le agenzie civili federali fissata al 28 luglio 2026. Due settimane dopo tale scadenza, secondo i resoconti pubblici, lo sfruttamento resta attivo negli ambienti che non hanno applicato l'aggiornamento o non hanno abilitato l'hardening aggiuntivo che introduce.

Questo articolo si basa strettamente su quanto pubblicato dall'avviso ufficiale di Microsoft e dalla sua documentazione di supporto, dalla NVD, dalla CISA e da testate di sicurezza indipendenti. Non riproduce codice di exploit né inventa dettagli tecnici oltre a quanto descritto da queste fonti.

Per una panoramica di come le configurazioni ACL errate si trasformano già in una compromissione totale del dominio senza alcun CVE, vedi Abuso ACL e DCSync: I Percorsi Silenziosi verso Domain Admin. CVE-2026-56155 si basa su un meccanismo diverso dalla falla di iscrizione AD CS trattata in Certighost CVE-2026-54121 ADCS: Utenti a Basso Privilegio Possono Impersonare un Controller di Dominio — quella falla abusa dell'iscrizione dei certificati; questa abusa dell'ACL che protegge il contenitore di protezione delle chiavi proprio di AD FS. Per capire come i diritti privilegiati ritornino in un ambiente anche dopo che un CVE come questo viene corretto, vedi Deriva degli Accessi Privilegiati in Active Directory: Come i Diritti Admin Ritornano dopo un Audit.

CVE-2026-56155 ADFS Elevazione di Privilegi: di cosa si tratta

CVE-2026-56155 è classificata come Importante, con un punteggio base CVSS 3.1 di 7,8 (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) e classificata sotto CWE-1220 (Granularità Insufficiente del Controllo degli Accessi). L'avviso di Microsoft la descrive così: «Una granularità insufficiente del controllo degli accessi in Active Directory Federation Services (AD FS) consente a un attaccante autorizzato di elevare i privilegi localmente».

I resoconti pubblici (Tenable, The Hacker News) attribuiscono la scoperta al Detection and Response Team (DART) interno di Microsoft, individuata durante un'attività di incident response attiva piuttosto che tramite ricerca proattiva — il che significa che gli attaccanti stavano già usando questa falla prima che Microsoft o la comunità più ampia ne fossero a conoscenza. È stata corretta nell'ambito del Patch Tuesday Microsoft del 14 luglio 2026, insieme a un secondo zero-day attivamente sfruttato in SharePoint Server (CVE-2026-56164). La voce KEV della CISA elenca il prodotto interessato semplicemente come «Active Directory Federation Services» e impone alle agenzie di «applicare le mitigazioni secondo le istruzioni del fornitore».

I ruoli AD FS interessati girano su Windows Server 2012 e 2012 R2 (con Extended Security Updates), Windows Server 2016, 2019, 2022 e 2025.

Come funziona la vulnerabilità

AD FS utilizza un contenitore DKM (Distributed Key Manager), un oggetto memorizzato in Active Directory, per conservare le chiavi simmetriche che proteggono le chiavi private dietro i certificati di firma e cifratura dei token di AD FS. Ogni server di una farm AD FS legge questo contenitore per condividere lo stesso materiale di firma. Secondo la documentazione di supporto Microsoft per la correzione (KB5121391), l'elenco di controllo degli accessi del contenitore era troppo permissivo: principal al di fuori dell'insieme previsto potevano leggere o modificare l'oggetto DKM, e un attaccante con tale accesso poteva progredire verso la decifratura del materiale di chiave di firma dei token protetto ed elevarsi ad amministratore.

La baseline rafforzata di Microsoft limita l'accesso al contenitore DKM a soli quattro principal:

La remediation disabilita l'ereditarietà delle ACL sul contenitore e scarta ogni voce di controllo accessi ereditata, rimuovendo qualsiasi permesso Allow al di fuori di questa baseline.

Rilevamento

Le pubblicazioni pubbliche che trattano la scoperta durante l'incident response non descrivono una firma di sfruttamento specifica per AD FS oltre a questo evento di audit. Per una copertura più ampia dei log AD FS/controller di dominio, vedi Monitoraggio Sicurezza AD: Gli Event ID che Contano. Considera l'assenza di avvisi 1132, unita all'installazione confermata di KB5121391 e a RemediateDkmAcl abilitato, come la prova concreta di un contenitore rafforzato — piuttosto che dedurre una compromissione dal solo volume di eventi.

Remediation

1. Correggi prima ogni server AD FS. Installa l'aggiornamento cumulativo di sicurezza del 14 luglio 2026 (o successivo) del tuo sistema operativo su tutta la flotta — il KB varia in base al sistema operativo: KB5099445 (Windows Server 2012), KB5099444 (2012 R2), KB5099535 (2016), KB5099538 (2019), KB5099540 (2022), KB5099536 (2025). KB5121391 è l'articolo esplicativo di Microsoft su questo comportamento di hardening ACL, non un aggiornamento installabile di per sé. Installare solo l'aggiornamento cumulativo abilita esclusivamente la modalità audit — non modifica ancora alcuna ACL.
2. Attiva la remediation ora invece di attendere l'applicazione forzata:
   • Windows Server 2016 e successivi: imposta HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl a 1.
   • Windows Server 2012 / 2012 R2 (ESU): assegna prima all'account di servizio AD FS i permessi WriteOwner e WriteDacl sul contenitore DKM, quindi imposta lo stesso valore di registro.
3. Tieni traccia della data di applicazione forzata. La remediation automatica inizia il 13 ottobre 2026 per Windows Server 2016 e successivi che non l'hanno attivata manualmente; Windows Server 2012 e 2012 R2 richiedono sempre remediation manuale, anche dopo tale data.
4. Valida. Dopo la remediation, conferma che l'ACL del contenitore DKM corrisponda alla baseline Microsoft (tabella sopra) e conferma che la firma dei token, il SSO delle relying party e i metadati di federazione funzionino ancora normalmente.

# Confermare che l'aggiornamento cumulativo di luglio 2026+ del sistema operativo sia installato prima di fidarsi del silenzio della modalità audit
# Usare il KB corrispondente al proprio sistema operativo dal passaggio 1 sopra, ad es. KB5099538 per Windows Server 2019
Get-HotFix -Id KB5099538 -ErrorAction SilentlyContinue

🚨 Pericolo: impostare RemediateDkmAcl a 0 disattiva completamente l'hardening. Le indicazioni stesse di Microsoft affermano che il contenitore «rimane vulnerabile» in tale stato — da usare solo per organizzare un rollout controllato, mai come postura a lungo termine.

La scadenza di remediation federale civile della CISA per questo CVE era il 28 luglio 2026 — già superata. Qualsiasi parco AD FS ancora non corretto o ancora sulle impostazioni predefinite (solo audit) oggi opera oltre il calendario di remediation sia del fornitore sia dello stesso governo statunitense.

Come EtcSec rileva questo problema

Nessun controllo del catalogo EtcSec punta ancora specificamente all'ACL del contenitore DKM di AD FS — si tratta di una lacuna reale che questo CVE mette in luce, non di qualcosa già coperto dai rilevamenti esistenti. È vicino a capacità già verificate dal catalogo: ACL GenericAll, ACL WriteDACL e ACL WriteOwner segnalano tutte la stessa classe di permessi eccessivi a livello di oggetto che ha reso questo contenitore sfruttabile, e Revisione degli Accessi Privilegiati Richiesta segnala gli ambienti in cui nessuno riverifica periodicamente chi detiene questo tipo di diritti. Nessuno di essi sostituisce la conferma diretta dello stato di KB5121391 e RemediateDkmAcl — questa verifica di patch e registro è l'azione concreta da intraprendere oggi, prima di qualsiasi rilevamento automatizzato.

Riferimenti principali

• NVD: CVE-2026-56155
• Microsoft Security Response Center: avviso CVE-2026-56155
• Microsoft Support: KB5121391 — Hardening dell'ACL del contenitore DKM di AD FS per CVE-2026-56155
• Catalogo Known Exploited Vulnerabilities della CISA: CVE-2026-56155
• Tenable: Il Patch Tuesday di luglio 2026 di Microsoft affronta 569 CVE (CVE-2026-56155, CVE-2026-56164)
• The Hacker News: Microsoft corregge un record di 622 falle, incluse due zero-day sotto attacco attivo
• Cyberpress: falla di escalation dei privilegi di Microsoft Active Directory FS sfruttata in attacchi attivi