| MC1471963 | 30-Day Reminder: AD FS DKM container ACL hardening begins in October 2026 |
|---|
| Classification | stayInformed |
|---|---|
| Last Updated | 09/14/2026 20:56:15 |
| Start Time | 09/14/2026 20:56:14 |
| End Time | 09/14/2027 20:56:14 |
| Message Content |
What and why
In October 2026, Windows updates will begin Enforcement mode for AD FS Distributed Key Manager (DKM) container ACL hardening. This hardening change is designed to address the elevation of privilege vulnerability documented in CVE-2026-56155 by automatically remediating insecure DKM container ACL configurations on supported Windows Server versions.
If your organization uses Active Directory Federation Services (AD FS), use the remaining Audit mode period to validate DKM container permissions, identify compatibility issues, and complete preparation before Enforcement mode begins.
Rollout schedule
Enforcement mode begins with the October 2026 Windows security update.
Impact on your organization
Organizations using AD FS might see changes to DKM container permissions when remediation is applied during Enforcement mode. During the October 2026 update, supported Windows Server versions will run remediation by default unless administrators explicitly opt out. Windows Server 2012 and Windows Server 2012 R2 still require manual remediation and will not be automatically remediated.
Action required/recommendations
Organizations using AD FS should:
|
| Machine Translation |
何となぜ
2026年10月から、Windows アップデートはAD FS Distributed Key Manager(DKM)コンテナACLハードニングのEnforcementモードを開始します。このハードニング変更は、サポートされるWindows Serverバージョンでセキュリティの悪いDKMコンテナACL構成を自動的に修復することで、 CVE-2026-56155 に記載された権限昇格脆弱性に対応することを目的としています。
組織がActive Directory Federation Services(AD FS)を使用している場合は、残りの監査期間を使ってDKMコンテナ権限の検証、互換性の問題の特定、強制モード開始前の準備を完了してください。
展開スケジュール
強制モードは2026年10月のWindowsセキュリティアップデートから始まります。
組織への影響
AD FSを使用している組織は、強制モードでの補正が適用される際にDKMコンテナ権限の変更を見ることがあります。2026年10月のアップデートでは、管理者が明示的にオプトアウトしない限り、サポートされているWindows Serverバージョンはデフォルトで補丁を実行します。Windows Server 2012およびWindows Server 2012 R2は依然として手動補丁が必要であり、自動で補丁されることはありません。
必要な行動/提言
AD FSを使用する組織は以下のことをすべきです:
|