AD FSの権限昇格ゼロデイCVE-2026-56155。7月Patch Tuesdayで悪用確認、KEV収録された認証基盤の急所

Active Directory Federation Services(AD FS)は、オンプレミスのActive Directoryと、Microsoft 365やEntra IDといったクラウドサービスをつなぐ認証フェデレーションの基盤です。利用者の認証をAD FSが受け持ち、その結果を信頼済みのトークンとして各サービスへ引き渡します。このAD FSに、認証済みで権限の低いローカル攻撃者が管理者権限まで昇格できる脆弱性CVE-2026-56155が見つかりました。CVSS v3.1の基本値は7.8です。2026年7月14日のMicrosoft Patch Tuesdayでは、DKMコンテナのACLハードニングの第1段階(既定は監査モード)が提供されました。AD FSサービスは起動時とその後24時間ごとにDKMコンテナのACLを確認し、不備を見つけるとAD FS AdminイベントログにEvent ID 1132を記録します。更新を適用しただけではDKMコンテナのACLは自動では是正されず、RemediateDkmAclレジストリ値で是正にオプトインするか、既定のまま構成しない環境も2026年10月13日以降に自動是正される流れになります。同日に米CISAが既知の悪用された脆弱性(KEV)カタログへ収録し、実際の悪用が確認されています。

この記事は、AD FSやActive Directoryを運用する情報システムやインフラの担当に向けて、認証基盤の権限昇格がなぜ広範な影響を持つのか、アクセス制御の粒度不足がどうやって管理者権限の奪取に転じるのかを、NVDとMicrosoftのアドバイザリ、Zero Day Initiative(ZDI)の分析、CISAの情報をもとに整理します。あわせて、7月更新で追加されたDKMコンテナのACL監査と是正の仕組み、KEV収録を踏まえた初動を扱います。攻撃の再現手順やペイロードは示しません。脆弱性の検証は自組織が管理する環境に限って行います。

認証フェデレーション基盤の権限奪取が広範に波及する理由#

AD FSは、社内のActive Directoryが持つ利用者情報をもとに認証を行い、その結果を信頼済みのセキュリティトークンとして外部サービスへ発行します。Microsoft 365やEntra ID、業務用のSaaSがAD FSを信頼している構成では、AD FSが発行するトークンが各サービスへのアクセスを許す通行証として働きます。ただし実際にどのサービスへどこまで到達できるかは、構成された信頼関係(relying party trust)やクレーム規則、各サービス側の認可設定に依存し、この脆弱性を悪用しただけで全SaaSへ自動的に権限が付与されるわけではありません。誰であるかを確かめる認証と、何を許すかを決める認可は別の層で、なりすましトークンが通るかどうかは信頼構成しだいです。認証の判断をAD FSに集約する仕組みであるため、この基盤を握られると影響は一つのサーバーにとどまりません。

CVE-2026-56155で攻撃者が得るのは、AD FSサーバー上の管理者権限です。AD FSの管理者権限は、トークンの署名に使う鍵や信頼関係の構成へ手が届く立場を意味します。トークン署名証明書の秘密鍵やDKMコンテナの鍵素材を奪われると、Golden SAMLと呼ばれる手口で偽造SAMLトークンを作成でき、多要素認証を含む認証手続きを迂回して任意の利用者(管理者を含む)になりすませます。フェデレーションを信頼する各サービスへ横展開される経路が開き、オンプレミスの権限昇格がクラウド側のなりすましへ連なり得る点が、認証基盤特有の重さです。管理者権限そのものの扱いについては次の記事で整理しています。

MITRE ATT&CKは、AD FSのトークン署名証明書を侵害して偽造SAMLトークンを作る手口(Golden SAML)をT1606.002(Forge Web Credentials: SAML Tokens)として整理し、偽造トークンが多要素認証などの認証保護機構を迂回し得ると説明しています。

あわせて読みたい

最小権限の原則（Least Privilege）。なぜ権限を絞ることが最強の防御の一つなのか

アクセス制御の粒度不足が権限昇格に転じる仕組み#

CVE-2026-56155は、採番CNAであるMicrosoftがCWE-1220(Insufficient Granularity of Access Control、アクセス制御の粒度不足)を付与し、NVD等がその情報を掲載しています。CWE-1220は、セキュリティ上重要な資産へのアクセスを制限する制御が十分に細かく設計されず、本来許すべき範囲を越えた操作を認めてしまう弱点です。役割ごとに与える権限の線引きが粗いと、低い権限しか持たないはずの主体が、想定より強い操作へ到達できてしまいます。

Microsoftのアドバイザリは、この脆弱性を認証済みの攻撃者がローカルで権限を昇格できるものと説明しています。攻撃には正規の資格情報とローカルでの足場が前提になりますが、権限要件は低く、管理者権限は必要としません。正規に付与された低権限のアカウントが起点になり得るため、外部からの未認証攻撃ではないという理由だけで軽く扱える対象ではありません。

NVDはCVE-2026-56155を、Active Directory Federation Services(AD FS)のアクセス制御の粒度不足により、認証済みの攻撃者がローカルで権限を昇格できる脆弱性として掲載しています。採番CNAであるMicrosoftが付与したCVSS v3.1基本値は7.8で、ベクトルはAV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H、分類はCWE-1220です。公開日は2026年7月14日です。

CVSS評価とベクトルの読み方#

採番CNAであるMicrosoftが付与したCVSS v3.1の基本値は7.8(HIGH)で、NVD等がその情報を掲載しています。数値とベクトルは次のとおりです。

ベクトルは、攻撃元がローカル(AV:L)で、攻撃の複雑さが低く(AC:L)、必要な権限が低め(PR:L)、利用者の操作が不要(UI:N)であり、機密性と完全性と可用性のいずれにも高い影響(C:H/I:H/A:H)が及ぶことを示します。攻撃元がネットワークではなくローカルで、一定の権限を前提とするため、CVSS単体では9点台の未認証RCEより低い7.8に収まります。数値だけを見て後回しにできないのは、この前提が実環境で満たされ、悪用が確認されたためです。優先度づけの根拠は次の節で扱います。

実際の悪用とKEV収録が示す優先度#

ZDIは2026年7月のセキュリティ更新の分析で、今月AD FS関連の複数の脆弱性が修正されたなかで、CVE-2026-56155だけが実際に悪用されていると指摘しました。あわせて、この権限昇格がRCE(リモートコード実行)と組み合わされる可能性に触れ、ランサムウェアでよく見られる連鎖の一部として使われ得ると警告しています。権限昇格は単体で完結する攻撃ではなく、足場を得た攻撃者が権限を引き上げるための踏み台として位置づけられます。

CISAのKEV(Known Exploited Vulnerabilities)カタログは、実環境での悪用が確認された脆弱性だけを収録します。CISAは2026年7月14日にCVE-2026-56155を含む4件をKEVへ追加し、連邦民間行政機関(FCEB)に対して2026年7月28日までの是正を指示しました。KEVへの収録は、この脆弱性が悪用され得る段階を越えて、実際に悪用されている段階にあることを公的に示します。ゼロデイの位置づけと優先度づけの考え方は次の記事で整理しています。

あわせて読みたい

脆弱性対応の優先順位付け。CVSSだけに頼らないEPSSとCISA KEVの使い方

Zero Day Initiativeは2026年7月のレビューで、今月のMicrosoftのCVEを621件と集計して過去最大規模と報告し、CVE-2026-56155について今月修正された複数のAD FS脆弱性のなかで唯一実際に悪用されているものと述べ、RCEと組み合わされてランサムウェアで用いられ得ると指摘しています。

7月更新が追加したDKMコンテナのACL監査と是正#

2026年7月14日の更新は、AD FSのDistributed Key Manager(DKM)コンテナに対するACL(アクセス制御リスト)の不備へ対処します。DKMコンテナは、トークン署名証明書とトークン暗号化証明書の秘密鍵を保護するための鍵素材(対称鍵)を格納する場所です。ACLが緩いと、認可された低権限のローカル攻撃者がこの鍵素材を読み取り、保護されているはずの署名鍵や暗号化鍵を復号できてしまいます。更新はまず監査モードを追加し、AD FSサービスが起動時とその後24時間ごとにDKMコンテナのACLを点検して、対処が必要な状態を検知するとAD FS AdminイベントログにEvent ID 1132を記録します。この段階では権限は自動では変更されません。更新の適用だけではDKMコンテナのACLは是正されない点に注意します。

計画的に是正したい場合は、HKLM\SOFTWARE\Microsoft\ADFS\Parameters にREG_DWORD値 RemediateDkmAcl を 1 で設定してオプトインします(値の名前と型、パスの正確な指定はMicrosoftのアドバイザリで確認します)。この値を設定すると、即座に是正されるのではなく、次回のACLチェック(最大24時間ごと)またはAD FSサービスの再起動を機に是正処理が実行され、成功するとEvent ID 1135が記録されます。Windows Server 2016以降では、何も設定しなくてもMicrosoftが2026年10月13日以降に自動是正を有効化する計画で、既定のまま構成しない環境もこの日以降は自動的に是正されます。Windows Server 2012および2012 R2は自動是正の対象外で、明示的なオプトインが必要になります。これらのOSではレジストリ設定の前に、AD FSサービスアカウントへDKMコンテナのWriteOwnerとWriteDaclを付与しておく必要があります。設定を変更する前に、稼働中のAD FSファームで想定外の影響が出ないかを検証環境で確認します。

MicrosoftのSecurity Update GuideはCVE-2026-56155をAD FSの権限昇格の脆弱性として公開し、CVSS 7.8を付与しています。7月14日の更新はDKMコンテナのACL不備を検知する監査モードを追加し、Event ID 1132で対処が必要な状態を通知します。是正手順の詳細はKB5121391が一次情報で、RemediateDkmAclレジストリ値で是正にオプトインすると次回のACLチェックまたはサービス再起動を機に是正され成功時にEvent ID 1135が記録されること、Windows Server 2016以降では未設定環境が2026年10月13日以降に自動是正されることを案内しています。

運用担当の初動#

実環境での悪用が確認され、フェデレーション基盤の権限奪取につながる脆弱性である以上、更新の適用と設定の是正、侵害調査を並行して進めます。次の順序で手を付けます。

AD FSは認証を集約する基盤であるため、多要素認証をはじめとする認証の強化は侵害前の予防策として有効です。ただし署名鍵を奪われた後に作られる偽造トークンは正規の署名で通るため多要素認証では防げず、予防と鍵の保護を両輪で考えます。導入の勘所は次の記事で整理しています。

あわせて読みたい

多要素認証（MFA）の選び方と導入の勘所。方式比較から運用まで徹底解説

脆弱性の検証は自組織が管理する環境に限って行います。対象の所有者から明示的な許可を得ずに行うアクセスや検査は、関連法令や利用規約に抵触するおそれがあります。必ず許可を得た環境でのみ実施してください。悪用手順の詳細をここで示さないのも同じ理由からです。

まとめ#

CVE-2026-56155は、認証フェデレーションの中枢であるAD FSが、認証済みの低い権限を足場に管理者権限まで奪われる危うさを示した脆弱性です。根因はアクセス制御の粒度不足で、採番CNAであるMicrosoftが付与した分類はCWE-1220、CVSS v3.1基本値は7.8です。2026年7月14日のPatch Tuesdayで対処され、ZDIは今月のAD FS関連で唯一実際に悪用されていると指摘し、RCEと連鎖してランサムウェアに使われ得ると警告しています。CISAは同日にKEVへ収録し、連邦機関へ7月28日までの是正を指示しました。対応の要点は、7月の更新を全AD FSサーバーへ適用したうえで、更新の適用だけではDKMコンテナのACLは是正されないため、Event ID 1132を手がかりにRemediateDkmAclでACLを是正しつつ、適用前の侵害を前提になりすましや不正な昇格の痕跡を連携先まで含めて調査し、署名鍵の侵害が疑われる場合はトークン署名証明書と暗号化証明書の緊急ローテーションとメタデータ更新、発行済みトークンの失効まで進めることにあります。