Ein AD FS Zero-Day hält Administratoren aktuell auf Trab: Microsoft bestätigt, dass die Schwachstelle CVE-2026-56155 in den Active Directory Federation Services bereits aktiv ausgenutzt wird. Weil AD FS die Brücke zwischen lokalem Active Directory und Cloud-Diensten wie Microsoft 365 bildet, wiegt eine Kompromittierung an dieser Stelle besonders schwer.
AD FS Zero-Day CVE-2026-56155: Was steckt dahinter?
Die Lücke ist eine Rechteausweitung (Elevation of Privilege) mit einem CVSS-Wert von 7,8. Technisch fällt sie unter CWE-1220 – „Insufficient Granularity of Access Control”. AD FS trennt die Berechtigungen zwischen den einzelnen Rollen also nicht fein genug. Das Problem liegt im Distributed Key Manager (DKM). Dort lagern die symmetrischen Schlüssel, mit denen AD FS seine Token-Signatur- und Token-Verschlüsselungszertifikate schützt.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Ein Angreifer braucht bereits lokalen Zugriff mit niedrigen Rechten auf dem AD-FS-Server. Von dort aus kann er sich zu Administrator-Rechten hochziehen. Genau diese Kombination macht die Schwachstelle gefährlich: Wer erst einmal auf dem Identitäts-Server sitzt, greift die Schlüssel ab und kann anschließend Tokens fälschen.
Warum Identitäts-Infrastruktur ein Top-Ziel ist
Die Zero Day Initiative stuft CVE-2026-56155 als einzige der diesen Monat gepatchten AD-FS-Lücken als aktiv ausgenutzt ein. Zudem warnen die Analysten, dass sie sich mit einer Remote-Code-Execution kombinieren lässt – ein Muster, das wir häufig bei Ransomware sehen. AD FS ist die Art von Infrastruktur, durch die Angreifer nach einem ersten Fuß in der Tür gerne weiter pivotieren. Wer hier die Kontrolle verliert, riskiert Zugriff auf Microsoft 365 und angebundene Cloud-Anwendungen.
So schließen Sie die Lücke – zweiphasige Behebung
Microsoft liefert den Fix in zwei Stufen. Wichtig: Das reine Einspielen des Updates reicht zunächst nicht, es startet nur die Prüfung.
- Audit-Phase (ab Juli 2026): Nach der Installation prüft der AD-FS-Dienst die ACL des DKM-Containers bei jedem Start und danach alle 24 Stunden. Achten Sie im AD-FS-Admin-Log auf Event-ID 1132, die auf zu weite Berechtigungen hinweist.
- Enforcement-Phase (ab 13. Oktober 2026): Ist der Registry-Wert dann nicht gesetzt, korrigiert das Update unsichere ACLs automatisch.
Wer nicht warten will, aktiviert die Bereinigung sofort per Registry-Schlüssel RemediateDkmAcl = 1. Ein Wert von 0 deaktiviert die automatische Behebung. Zu beachten: Windows Server 2012 und 2012 R2 erhalten das automatische Enforcement nicht und brauchen zusätzliche Handarbeit. Betroffen sind ansonsten alle Versionen von Windows Server 2012 bis 2025.
Praxis-Empfehlung
Installieren Sie das Update vom 14. Juli 2026 auf allen AD-FS-Servern. Prüfen Sie danach das Admin-Log auf Event-ID 1132 und setzen Sie RemediateDkmAcl aktiv auf 1, statt die automatische Frist im Oktober abzuwarten. Diese Lücke war Teil des bislang größten Patch Tuesday überhaupt – die Details dazu lesen Sie in unserem Beitrag zum Microsoft Patch Tuesday Juli 2026.
Fazit zum AD FS Zero-Day
CVE-2026-56155 zeigt einmal mehr: Identitäts-Infrastruktur gehört zu den lohnendsten Zielen. Der Patch ist da, doch ohne die aktive Registry-Einstellung bleibt die Lücke bis Oktober offen. Handeln Sie jetzt, nicht erst zur Deadline.
Quellen
- Microsoft Support: KB5121391 zu CVE-2026-56155
- NVD: CVE-2026-56155 Detail
- CISA Known Exploited Vulnerabilities Catalog
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden