Microsoft ужесточает ACL DKM в AD FS с обновлением октября 2026 года

С октябрьским обновлением 2026 года Microsoft переводит защиту ACL контейнера DKM в AD FS из режима аудита в принудительное применение: на Windows Server 2016 и новее уязвимые ACL исправляются автоматически, если не задан параметр RemediateDkmAcl=0. Уязвимость CVE-2026-56155 позволяет читающему DKM атакующему расшифровать приватные ключи подписи токенов. Случаев эксплуатации не зафиксировано.

• С 13 октября 2026 года исправление ACL DKM в AD FS включается по умолчанию
• Windows Server 2012 и 2012 R2 требуют ручной настройки
• Уязвимость CVE-2026-56155 даёт доступ к ключам подписи токенов
• Событие 1135 хранит прежний ACL в SDDL, но логи могут перезаписаться