AD FS Zero-Day CVE-2026-56155: Rechteausweitung aktiv ausgenutzt

Ein AD FS Zero-Day hält Administratoren aktuell auf Trab: Microsoft bestätigt, dass die Schwachstelle CVE-2026-56155 in den Active Directory Federation Services bereits aktiv ausgenutzt wird. Weil AD FS die Brücke zwischen lokalem Active Directory und Cloud-Diensten wie Microsoft 365 bildet, wiegt eine Kompromittierung an dieser Stelle besonders schwer.

AD FS Zero-Day CVE-2026-56155: Was steckt dahinter?

Die Lücke ist eine Rechteausweitung (Elevation of Privilege) mit einem CVSS-Wert von 7,8. Technisch fällt sie unter CWE-1220 – „Insufficient Granularity of Access Control“. AD FS trennt die Berechtigungen zwischen den einzelnen Rollen also nicht fein genug. Das Problem liegt im Distributed Key Manager (DKM). Dort lagern die symmetrischen Schlüssel, mit denen AD FS seine Token-Signatur- und Token-Verschlüsselungszertifikate schützt.

Ein Angreifer braucht bereits lokalen Zugriff mit niedrigen Rechten auf dem AD-FS-Server. Von dort aus kann er sich zu Administrator-Rechten hochziehen. Genau diese Kombination macht die Schwachstelle gefährlich: Wer erst einmal auf dem Identitäts-Server sitzt, greift die Schlüssel ab und kann anschließend Tokens fälschen.

Warum Identitäts-Infrastruktur ein Top-Ziel ist

Die Zero Day Initiative stuft CVE-2026-56155 als einzige der diesen Monat gepatchten AD-FS-Lücken als aktiv ausgenutzt ein. Zudem warnen die Analysten, dass sie sich mit einer Remote-Code-Execution kombinieren lässt – ein Muster, das wir häufig bei Ransomware sehen. AD FS ist die Art von Infrastruktur, durch die Angreifer nach einem ersten Fuß in der Tür gerne weiter pivotieren. Wer hier die Kontrolle verliert, riskiert Zugriff auf Microsoft 365 und angebundene Cloud-Anwendungen.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

So schließen Sie die Lücke – zweiphasige Behebung

Microsoft liefert den Fix in zwei Stufen. Wichtig: Das reine Einspielen des Updates reicht zunächst nicht, es startet nur die Prüfung.

• Audit-Phase (ab Juli 2026): Nach der Installation prüft der AD-FS-Dienst die ACL des DKM-Containers bei jedem Start und danach alle 24 Stunden. Achten Sie im AD-FS-Admin-Log auf Event-ID 1132, die auf zu weite Berechtigungen hinweist.
• Enforcement-Phase (ab 13. Oktober 2026): Ist der Registry-Wert dann nicht gesetzt, korrigiert das Update unsichere ACLs automatisch.

Wer nicht warten will, aktiviert die Bereinigung sofort per Registry-Schlüssel RemediateDkmAcl = 1. Ein Wert von 0 deaktiviert die automatische Behebung. Zu beachten: Windows Server 2012 und 2012 R2 erhalten das automatische Enforcement nicht und brauchen zusätzliche Handarbeit. Betroffen sind ansonsten alle Versionen von Windows Server 2012 bis 2025.

Praxis-Empfehlung

Installieren Sie das Update vom 14. Juli 2026 auf allen AD-FS-Servern. Prüfen Sie danach das Admin-Log auf Event-ID 1132 und setzen Sie RemediateDkmAcl aktiv auf 1, statt die automatische Frist im Oktober abzuwarten. Diese Lücke war Teil des bislang größten Patch Tuesday überhaupt – die Details dazu lesen Sie in unserem Beitrag zum Microsoft Patch Tuesday Juli 2026.

Fazit zum AD FS Zero-Day

CVE-2026-56155 zeigt einmal mehr: Identitäts-Infrastruktur gehört zu den lohnendsten Zielen. Der Patch ist da, doch ohne die aktive Registry-Einstellung bleibt die Lücke bis Oktober offen. Handeln Sie jetzt, nicht erst zur Deadline.

Quellen

• Microsoft Support: KB5121391 zu CVE-2026-56155
• NVD: CVE-2026-56155 Detail
• CISA Known Exploited Vulnerabilities Catalog