CVE-2026-56155 : Zero-Day AD FS exploité CISA KEV, deadline 28/07

Les faits

CVE-2026-56155 est une vulnérabilité d'élévation de privilèges (Elevation of Privilege, EoP) affectant Active Directory Federation Services (AD FS), le service Microsoft permettant l'authentification unique (SSO) fédérée entre systèmes et organisations. Divulguée le 14 juillet 2026 dans le cadre du Patch Tuesday record de juillet 2026, cette vulnérabilité se distingue par une caractéristique particulièrement alarmante : elle a été découverte et signalée par la Microsoft Detection and Response Team (DART), l'équipe de réponse aux incidents de Microsoft. Cela signifie concrètement que les enquêteurs de DART ont rencontré cette faille lors d'une investigation sur une intrusion active, faisant de CVE-2026-56155 un véritable zero-day exploité en conditions réelles avant même la publication du correctif.

La vulnérabilité reçoit un score CVSS 3.1 de 7.8, avec un vecteur local (AV:L), une faible complexité (AC:L), nécessitant de faibles privilèges (PR:L) et sans interaction utilisateur (UI:N). La root cause est classée sous CWE-1220 (Insufficient Granularity of Access Control) : AD FS ne met pas en place des limites de permission suffisamment fines entre les différents rôles et entités au niveau du conteneur Distributed Key Manager (DKM). Ce conteneur Active Directory est le coffre-fort cryptographique d'AD FS — il stocke les clés de signature utilisées pour émettre et valider les tokens d'authentification SAML et OAuth.

Le vecteur d'exploitation concret repose sur l'accès à la liste de contrôle d'accès (ACL) du conteneur DKM dans Active Directory. Un attaquant disposant de faibles privilèges locaux sur un serveur AD FS peut exploiter les permissions insuffisantes de ce conteneur pour lire ou modifier les clés cryptographiques stockées. Avec ces clés, l'attaquant est en mesure de forger des tokens d'authentification valides et d'usurper l'identité de n'importe quel utilisateur — y compris les administrateurs — auprès de tous les services et applications connectés à l'infrastructure AD FS, sans aucune interaction supplémentaire.

L'impact réel d'une exploitation réussie de CVE-2026-56155 va bien au-delà de ce que suggère son score CVSS de 7.8. Un attaquant qui obtient des privilèges administrateur sur un serveur AD FS peut forger des tokens SAML lui accordant l'accès à l'ensemble des applications fédérées : Microsoft 365, Azure Active Directory, Salesforce, ServiceNow, et tout autre service configuré en tant que Relying Party dans l'infrastructure AD FS de l'organisation. Cela équivaut à une compromission complète de l'identité numérique de l'entreprise. Les auditeurs en cybersécurité parlent parfois de « golden SAML attack » pour désigner ce type de compromission, rendu tristement célèbre par les attaquants de l'opération SolarWinds en 2020.

Microsoft a découvert et attribué cette vulnérabilité à sa propre équipe DART, ce qui est exceptionnel. DART n'est mobilisée que lors d'incidents de sécurité significatifs chez des clients Microsoft. Le fait que DART ait identifié CVE-2026-56155 dans le cadre d'une investigation suggère que des acteurs malveillants sophistiqués — probablement des groupes APT (Advanced Persistent Threats) ayant déjà un accès initial au réseau cible — exploitaient activement cette faiblesse d'AD FS comme technique de persistance et de mouvement latéral. La nature exacte des incidents investigués par DART n'a pas été divulguée publiquement.

Le correctif apporté par Microsoft à travers KB5121391 (mise à jour du 14 juillet 2026) initie la « première phase de durcissement » de l'ACL sur le conteneur DKM. Microsoft a choisi une approche de déploiement en plusieurs phases pour ce correctif, probablement en raison de l'impact potentiel sur les infrastructures AD FS complexes où des permissions personnalisées pourraient exister sur le conteneur DKM. Les administrateurs doivent vérifier qu'aucune permission non standard n'a été configurée sur ce conteneur et suivre les instructions de Microsoft Knowledge Base KB5121391 pour la procédure complète de durcissement.

La CISA (Cybersecurity and Infrastructure Security Agency) a ajouté CVE-2026-56155 à son catalogue des Known Exploited Vulnerabilities (KEV) le 14 juillet 2026, le jour même de la publication du correctif, et a fixé la date limite de remédiation pour les agences fédérales américaines (FCEB) au 28 juillet 2026 — soit seulement deux semaines. Cette inclusion immédiate dans le KEV, concomitante à la publication du patch, illustre l'urgence exceptionnelle de la situation. Les agences fédérales sont contraintes par la Binding Operational Directive BOD 26-04 d'appliquer ces correctifs dans ce délai impératif.

CVE-2026-56155 est l'une des trois vulnérabilités zero-day exploitées in-the-wild corrigées lors du Patch Tuesday de juillet 2026, aux côtés de CVE-2026-45659 (SharePoint RCE CVSS 8.8) et CVE-2026-56164 (SharePoint EoP réseau, découverte par Mandiant/Google FLARE lors d'incidents actifs). La coïncidence de plusieurs zero-days AD FS et SharePoint exploités simultanément indique une campagne coordonnée ciblant l'infrastructure d'identité et de collaboration Microsoft — probablement orchestrée par des acteurs étatiques ou des groupes de ransomware sophistiqués.

Impact et exposition

AD FS est déployé dans la grande majorité des organisations de taille intermédiaire à grande (mid-market et enterprise) utilisant l'écosystème Microsoft pour leur infrastructure d'identité. Les secteurs les plus exposés sont la finance, la santé, les administrations publiques et les opérateurs d'importance vitale (OIV), qui fédèrent souvent de nombreuses applications critiques via AD FS. Une compromission d'AD FS dans ces secteurs peut avoir des conséquences sur des données sensibles, des systèmes de paiement ou des infrastructures critiques.

La condition d'exploitation requiert un accès local avec de faibles privilèges sur le serveur AD FS — cette barre d'entrée, bien que non nulle, est typiquement franchissable par un attaquant ayant obtenu un accès initial via phishing, exploitation d'une autre vulnérabilité, ou compromission d'un compte de service. Dans les scénarios d'attaque avancés, CVE-2026-56155 s'intègrerait dans une chaîne d'exploitation : accès initial (phishing) → accès bas privilèges sur un serveur Windows → exploitation CVE-2026-56155 → forge de tokens SAML → accès à l'ensemble des applications fédérées.

Les organisations utilisant exclusivement Microsoft Entra ID (Azure AD) pour leur authentification fédérée et n'ayant pas déployé AD FS on-premises ne sont pas directement affectées. En revanche, les organisations en mode hybride (AD FS on-premises + Entra ID) doivent traiter cette CVE en priorité absolue, car la compromission du périmètre AD FS peut impacter l'ensemble du tenant Azure.

Recommandations immédiates

• Appliquer KB5121391 sur tous les serveurs Windows exécutant le rôle AD FS avant le 28 juillet 2026 — advisory Microsoft Support CVE-2026-56155 AD FS DKM Container ACL Hardening
• Vérifier et auditer les ACL du conteneur Distributed Key Manager dans Active Directory : Get-ADObject -Filter {ObjectClass -eq "container" -and Name -eq "ADFS"} -SearchBase "CN=Microsoft,CN=Program Data,DC=domain,DC=com" | Get-ACL
• Activer la journalisation avancée AD FS (Event IDs 111, 1000-1010) et surveiller toute création de token anormale ou accès au conteneur DKM en dehors des processus AD FS légitimes
• Inspecter les logs DART et les indicateurs de compromission : rechercher des tokens SAML avec des attributs inhabituels (émetteurs inconnus, durées de vie anormalement longues, claims inattendus)
• Si une compromission est suspectée : renouveler immédiatement les certificats de signature AD FS et auditer tous les Relying Party trusts configurés
• Envisager la migration vers Microsoft Entra ID (authentification cloud) pour réduire la surface d'attaque on-premises à long terme