Microsoft AD FS CVE-2026-56155: zero-day di privilege escalation sfruttato, verso la forgiatura di token

Nel rilascio mensile Microsoft di luglio, il più corposo di sempre con 622 vulnerabilità corrette, il dato che conta per la difesa è più circoscritto: due zero-day già sfruttati in rete. Il più rilevante è la CVE-2026-56155, una elevation of privilege in Active Directory Federation Services con CVSS 7.8. Il difetto nasce da controlli di accesso troppo permissivi e richiede un accesso locale con privilegi bassi, ma il contesto ne amplifica la portata, perché AD FS è l'infrastruttura che gestisce l'autenticazione federata verso i servizi collegati.

A scoprire la falla è stato il Detection and Response Team di Microsoft, l'unità di risposta agli incidenti: il bug è emerso quindi nel corso di intrusioni reali già in atto, e la CISA lo ha inserito nel catalogo KEV il 14 luglio 2026 con scadenza di remediation al 28 luglio per le agenzie federali statunitensi. Un attaccante che raggiunge i privilegi di amministratore sull'host AD FS può forgiare token di autenticazione e impersonare qualsiasi utente verso ogni servizio collegato, senza ulteriori passaggi di autenticazione: è la classica leva che, concatenata a una RCE, si ritrova nelle catene ransomware. Nello stesso ciclo Microsoft ha corretto un secondo zero-day sfruttato, la CVE-2026-56164 in SharePoint Server, una elevation of privilege via rete individuata durante attività di risposta agli incidenti da Mandiant e dal team FLARE di Google, e ha divulgato pubblicamente un bypass di BitLocker (CVE-2026-50661) che richiede però accesso fisico e non risulta sfruttato.

A doversene preoccupare è chi gestisce un'infrastruttura di identità basata su AD FS, ancora diffusa in molte organizzazioni per il single sign-on verso applicazioni cloud e on-premise: la compromissione del server di federazione equivale a mettere in discussione l'affidabilità di ogni token emesso. La priorità va agli host AD FS e ai server SharePoint esposti, sui quali le due falle risultano già sotto sfruttamento, lasciando in secondo piano il resto del voluminoso rilascio mensile.

• Versioni affette: Active Directory Federation Services sulle versioni di Windows Server supportate (dettaglio negli aggiornamenti Microsoft di luglio 2026); per la CVE-2026-56164, Microsoft SharePoint Server.
• Azione raccomandata: applicare gli aggiornamenti Microsoft di luglio 2026 dando priorità agli host AD FS e ai server SharePoint entro la scadenza KEV del 28 luglio; per SharePoint, dove indicato da Microsoft, abilitare AMSI in modalità Full; verificare i log di autenticazione degli host di federazione.
   

Fonti: ACN, The Hacker News, Zero Day Initiative, CISA