A CISA adicionou ao seu catálogo de vulnerabilidades exploradas (KEV) a CVE-2026-56155, falha de escalonamento de privilégios locais no Active Directory Federation Services (AD FS) que a Microsoft confirmou estar sob exploração ativa em ataques reais. O registro na base nacional de vulnerabilidades dos Estados Unidos classifica a falha como CWE-1220, granularidade insuficiente de controle de acesso, e marca o nível de exploração como ativo desde o Patch Tuesday de julho de 2026. O prazo final para correção imposto pela CISA é 28 de julho de 2026, dentro da diretiva BOD 26-04, o que torna o boletim uma ação de emergência para qualquer organização que opere servidores de identidade baseados em Windows Server.
Detalhes da falha CVE-2026-56155
A CVE-2026-56155 explora uma validação insuficiente de permissões dentro do mecanismo de controle de acesso do AD FS. O vetor de ataque é local, exige que o invasor já esteja autenticado com privilégios mínimos de usuário e não requer interação do alvo. O cálculo CVSS 3.1 atribui nota 7,8, enquadrada pela Microsoft como gravidade Importante, com vetor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. O impacto técnico total sobre confidencialidade, integridade e disponibilidade significa que um atacante de baixo privilégio pode elevar sua posição até administrador do servidor e manipular todo o fluxo de autenticação federada.
O AD FS é o serviço centralizado da Microsoft que emite tokens de segurança e valida identidades para acesso único (SSO) a aplicativos corporativos, Microsoft 365, sistemas de VPN e plataformas de federação. Um servidor comprometido permite forjar tokens, criar novas contas administrativas e redirecionar sessões legítimas. Por isso, servidores AD FS são alvos recorrentes de grupos de ameaça persistente avançada (APT) e operações de ransomware que buscam controlar a porta de entrada da infraestrutura de identidade de uma organização.
Como a exploração acontece
Para explorar a vulnerabilidade, o atacante precisa primeiro obter acesso autenticado ao servidor, por meio de credenciais roubadas, phishing ou outro vetor de comprometimento prévio já estabelecido na rede. A partir dessa posição, o controle de acesso falho permite executar operações além das permissões previstas, ampliando privilégios até o nível de administrador local do servidor AD FS. Uma vez com esse controle, o invasor consegue alterar configurações de federação, acessar diretamente os tokens de autenticação e desativar mecanismos de segurança para consolidar o acesso e dificultar a detecção pela equipe de defesa.
A confirmação de exploração ativa veio da própria Microsoft, através de sua equipe de detecção e resposta a incidentes (DART), responsável por identificar a falha durante investigações de campo. Embora a empresa não tenha divulgado detalhes técnicos do exploit para dar tempo às equipes de defesa, a entrada simultânea no KEV indica que tráfego de exploração real foi observado em ambientes corporativos antes ou durante a janela de correção. Situações semelhantes, em que uma falha de identidade abre caminho para comprometimento amplo, são abordadas em planos de recuperação pós-incidente que consideram o comprometimento do provedor de identidade como pressuposto de partida.
Sistemas afetados pela atualização
A correção atinge um conjunto amplo de versões do Windows Server e algumas builds específicas do Windows 10. A tabela abaixo resume as versões vulneráveis conforme a configuração CPE publicada no registro nacional de vulnerabilidades:
| Produto | Versões vulneráveis (anteriores à build) |
|---|---|
| Windows Server 2012 / 2012 R2 | Todas as versões anteriores à atualização de julho |
| Windows Server 2016 | Anteriores a 10.0.14393.9339 |
| Windows Server 2019 | Anteriores a 10.0.17763.9020 |
| Windows Server 2022 | Anteriores a 10.0.20348.5386 |
| Windows Server 2025 | Anteriores a 10.0.26100.33158 |
| Windows 10 (1607 e 1809) | Anteriores às builds 14393.9339 e 17763.9020 |
O AD FS só existe em versões Server, mas as builds do Windows 10 aparecem na configuração porque compartilham binários subjacentes. O ciclo de julho de 2026 foi o maior já registrado pela Microsoft, com 622 vulnerabilidades corrigidas em um único Patch Tuesday, contexto também mencionado em cobertura sobre o zero-day LegacyHive que permaneceu sem correção oficial dentro do mesmo ciclo.
Como corrigir o servidor AD FS
A aplicação da atualização é o passo central, mas o controle do dano exige verificação de integridade e monitoramento contínuo, já que a falha pode ter sido explorada antes do patch existir. A Microsoft e a CISA recomendam o seguinte procedimento:
- Instalar todas as atualizações de segurança de julho de 2026 em todos os servidores AD FS e validar o número de build após a reinicialização.
- Auditar alterações recentes nos grupos de administradores locais e nas configurações de federação em busca de modificações não autorizadas.
- Monitorar processos e serviços incomuns no servidor, com correlação de eventos por SIEM e EDR.
- Exigir autenticação multifator para todas as contas privilegiadas e revisar permissões segundo o princípio do menor privilégio.
- Tratar o servidor como potencialmente comprometido caso tenha estado exposto ou acessível por credenciais suspeitas desde a divulgação da falha, iniciando resposta a incidentes antes de considerar o ambiente limpo.
O prazo da CISA serve de referência mesmo para organizações sem obrigação federal: a janela até 28 de julho de 2026 reflete o risco real de exploração, e atrasos aumentam a probabilidade de que servidores não corrigidos sejam incorporados a campanhas ativas. A gravidade dessa classe de falha, que afeta o núcleo da infraestrutura de identidade, é comparável em impacto a outros vetores de acesso explorados em 2026, como o caso documentado de vazamento de dados pelo Copilot da Microsoft corrigido por correção automática no servidor.