Microsoft’tan AD FS İçin Kritik Güvenlik Güncellemesi: CVE-2026-56155 ve DKM ACL
Microsoft, 14 Temmuz 2026 tarihinde yayımladığı güvenlik güncellemesiyle birlikte CVE-2026-56155 numaralı güvenlik açığına karşı Active Directory Federation Services (AD FS) altyapılarında önemli bir güvenlik iyileştirmesi gerçekleştirdi. Yeni güncelleme, AD FS’in kullandığı Distributed Key Manager (DKM) kapsayıcısının erişim izinlerini (ACL) sertleştirerek yetki yükseltme (Elevation of Privilege – EoP) riskini azaltmayı hedefliyor.
Güvenlik Açığının Detayı
AD FS, kullanıcı kimlik doğrulama işlemlerinde oluşturduğu belirteçleri (token) koruyabilmek için token-signing ve token-encryption sertifikalarının özel anahtarlarını DKM (Distributed Key Manager) kapsayıcısında saklar.
Microsoft’un yayımladığı CVE-2026-56155 danışmanlığına göre, DKM kapsayıcısının erişim izinleri gereğinden fazla yetkili yapılandırılmışsa, Active Directory üzerinde belirli okuma izinlerine sahip bir saldırgan bu anahtar materyallerine erişebilir. Bu durumda saldırgan, token-signing özel anahtarlarını çözerek sahte kimlik doğrulama belirteçleri oluşturabilir ve AD FS tabanlı kimlik doğrulama altyapısını hedef alabilir.
Bu senaryo özellikle federasyon altyapısı kullanan kurumlar için kritik bir yetki yükseltme riski oluşturuyor.
İlk Aşama: Audit Mode
Temmuz 2026 güvenlik güncellemesiyle birlikte Microsoft, sertleştirme sürecini Audit Mode ile başlatıyor.
Bu aşamada sistem herhangi bir değişiklik yapmıyor. Bunun yerine:
- AD FS servisi her başladığında
- Ardından her 24 saatte bir
DKM kapsayıcısının izinlerini otomatik olarak denetliyor. Eğer güvenli olmayan bir ACL yapısı tespit edilirse AD FS Admin Event Log altında Event ID 1132 oluşturuluyor. Bu olay yalnızca yöneticiyi uyarıyor; izinlerde otomatik bir değişiklik yapılmıyor.
Beklenen Güvenli ACL Yapısı
Microsoft’un önerdiği yapılandırmada DKM kapsayıcısına yalnızca aşağıdaki hesapların erişebilmesi gerekiyor.
| Hesap | Yetki |
|---|---|
| Domain Admins | Full Control |
| Enterprise Admins | Full Control |
| SYSTEM | Full Control |
| AD FS Service Account | Read, Write, Create Child, Write Owner, Delete Tree |
Bunun yanında:
- ACL miras alma (Inheritance) devre dışı bırakılıyor.
- Kalıtımla gelen tüm ACE kayıtları kaldırılıyor.
- Listede bulunmayan diğer tüm açık izinler siliniyor.
Bu yapı, DKM anahtarlarının yalnızca gerçekten ihtiyaç duyan hesaplar tarafından erişilebilir olmasını sağlıyor.
Sertleştirme Süreci Aşamalı İlerleyecek
Microsoft, bu değişikliği tek seferde zorunlu hale getirmiyor.
Planlanan takvim şu şekilde:
- Temmuz 2026
- Audit Mode aktif oluyor.
- Ortam yalnızca denetleniyor.
- Temmuz 2026
- İsteğe bağlı (Opt-in) remediation mekanizması kullanılabiliyor.
- Yöneticiler DKM ACL yapılandırmasını Microsoft’un önerdiği güvenli hale getirebiliyor.
- Ekim 2026
- Enforcement Mode devreye alınacak.
- Güvenlik denetimleri zorunlu hale gelecek.
Microsoft ayrıca ihtiyaç duyan kurumlar için geçici olarak Enforcement Mode’dan çıkış (Opt-out) seçeneği de sunacağını belirtiyor.
Yeni Event ID’ler
Bu güncellemeyle birlikte AD FS aşağıdaki yeni olay kayıtlarını oluşturmaya başlıyor:
| Event ID | Açıklama |
|---|---|
| 1132 | DKM ACL yapılandırması gözden geçirilmeli |
| 1133 | DKM ACL güvenli durumda |
| 1134 | Denetim sırasında hata oluştu |
| 1135 | Sertleştirme başarıyla tamamlandı |
| 1136 | Sertleştirme başarısız oldu |
Özellikle Event ID 1132, sistem yöneticilerinin takip etmesi gereken en önemli uyarılardan biri olarak öne çıkıyor.
Sistem Yöneticileri Ne Yapmalı?
Microsoft’un önerisine göre AD FS kullanan kurumların aşağıdaki adımları planlaması gerekiyor:
- Tüm AD FS sunucularına 14 Temmuz 2026 güvenlik güncellemesini veya daha yeni bir Windows güncellemesini yüklemek.
- Güncelleme sonrasında AD FS Admin olay günlüklerini düzenli olarak kontrol etmek.
- Event ID 1132 oluşuyorsa DKM kapsayıcısının ACL yapılandırmasını gözden geçirmek.
- Microsoft’un önerdiği izin yapısını uygulayarak DKM kapsayıcısını sertleştirmek.
- Ekim 2026’da devreye girecek Enforcement Mode öncesinde gerekli düzenlemeleri tamamlamak.
CVE-2026-56155, doğrudan uzaktan kod çalıştırma zafiyeti olmasa da, AD FS altyapılarında kullanılan kritik kriptografik anahtarların korunmasını hedefleyen önemli bir güvenlik iyileştirmesini beraberinde getiriyor. Microsoft’un kademeli olarak devreye aldığı bu sertleştirme süreci sayesinde, DKM kapsayıcısındaki aşırı yetkilendirme kaynaklı riskler azaltılarak federasyon altyapılarının güvenliği önemli ölçüde artırılıyor.
AD FS kullanan kurumların, Temmuz 2026 güncellemelerini uygulamaları ve Event ID 1132 kayıtlarını takip ederek gerekli ACL düzenlemelerini Ekim 2026’daki zorunlu uygulama aşamasından önce tamamlamaları öneriliyor.
