AD FS refuerza permisos DKM en octubre: revisión técnica y controles

Edición del 26 de octubre de 2026. Análisis de anuncios de Microsoft publicados anteriormente en octubre.

Endurecimiento de AD FS y contenedores DKM

La actualización de seguridad de octubre de 2026 lleva a la fase de cumplimiento las protecciones de permisos de contenedores Distributed Key Manager (DKM) utilizados por AD FS. Microsoft asocia este cambio a CVE-2026-56155. Las versiones compatibles reciben la remediación prevista; los sistemas 2012 y 2012 R2 requieren atención manual conforme a la documentación oficial.

Lista técnica para administradores de identidad

1. Inventaríe todos los servidores AD FS, su versión, parcheo y dependencias de federación.
2. Compruebe actualizaciones instaladas con Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10.
3. Revise en el Visor de eventos los registros AD FS/Admin y los avisos de permisos de la fase de auditoría anterior.
4. Identifique el contenedor DKM realmente utilizado por la granja; exporte y documente sus ACL con herramientas administrativas de Active Directory, sin conceder permisos generales.
5. Contraste las cuentas de servicio y permisos detectados con la guía oficial de Microsoft para CVE-2026-56155.
6. Pruebe inicio de sesión federado, renovación de tokens y aplicaciones dependientes después de los cambios.

GPO, controles y reversión

Una GPO no sustituye la corrección de ACL del contenedor. Use las directivas para endurecimiento complementario y auditoría, pero aplique las correcciones DKM según la guía de AD FS. Respaldar el estado de configuración y disponer de una restauración documentada es esencial antes de cambios sensibles de identidad.

Validaciones finales

Pruebe cambios en laboratorio, documente el estado previo y disponga de respaldo y reversión. Adapte comandos, permisos y políticas a su infraestructura.

Fuente Microsoft: Centro de mensajes de Windows.