{"id":1546,"date":"2026-07-15T08:48:41","date_gmt":"2026-07-15T11:48:41","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/07\/15\/cve-2026-56155-adfs-com-exploracao-ativa-exige-patch-imediat\/"},"modified":"2026-07-15T08:48:41","modified_gmt":"2026-07-15T11:48:41","slug":"cve-2026-56155-adfs-com-exploracao-ativa-exige-patch-imediat","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/07\/15\/cve-2026-56155-adfs-com-exploracao-ativa-exige-patch-imediat\/","title":{"rendered":"CVE-2026-56155: ADFS com Explora\u00e7\u00e3o Ativa Exige Patch Imediato"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Na manh\u00e3 desta quarta-feira, 15 de julho de 2026, a comunidade de seguran\u00e7a da informa\u00e7\u00e3o amanheceu sob um dos alertas mais severos do ano: a CVE-2026-56155<\/strong>, uma vulnerabilidade de eleva\u00e7\u00e3o de privil\u00e9gio no Microsoft Active Directory Federation Services (ADFS), entrou oficialmente para o cat\u00e1logo de explora\u00e7\u00e3o ativa da CISA (Known Exploited Vulnerabilities \u2013 KEV). Com um ecossistema corporativo ainda se recuperando do maior Patch Tuesday da hist\u00f3ria \u2014 622 corre\u00e7\u00f5es divulgadas pela Microsoft no \u00faltimo ciclo \u2014 a confirma\u00e7\u00e3o de que essa falha j\u00e1 est\u00e1 sendo utilizada em ataques reais eleva o n\u00edvel de urg\u00eancia para ALERTA M\u00c1XIMO<\/strong>. A CVE-2026-56155 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> representa um divisor de \u00e1guas para administradores de identidade, arquitetos de nuvem h\u00edbrida e equipes de SOC, pois atinge diretamente o cora\u00e7\u00e3o da federa\u00e7\u00e3o de autentica\u00e7\u00e3o corporativa: o ADFS.<\/p>\n

O ADFS \u00e9 o componente respons\u00e1vel por extender a autentica\u00e7\u00e3o do Active Directory para aplica\u00e7\u00f5es externas, parceiros de neg\u00f3cio e servi\u00e7os em nuvem como Microsoft 365, Azure e milhares de solu\u00e7\u00f5es SaaS. Uma falha que permita a um atacante autorizado \u2014 mesmo com credenciais limitadas \u2014 elevar privil\u00e9gios localmente dentro desse servi\u00e7o pode significar o acesso irrestrito a tokens SAML, assinaturas de claims e, em \u00faltima inst\u00e2ncia, a capacidade de forjar identidades com privil\u00e9gios administrativos. \u00c9 exatamente esse o cen\u00e1rio que a CVE-2026-56155 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> habilita: uma granularidade insuficiente nos controles de acesso permite que uma conta de baixo privil\u00e9gio escale at\u00e9 a execu\u00e7\u00e3o de opera\u00e7\u00f5es cr\u00edticas no servidor de federa\u00e7\u00e3o.<\/p>\n

O alerta ganha contornos ainda mais dram\u00e1ticos quando observamos o cen\u00e1rio paralelo: o mesmo Patch Tuesday de julho de 2026 trouxe a CVE-2026-56164<\/strong> (SharePoint Server), tamb\u00e9m em explora\u00e7\u00e3o ativa, al\u00e9m de duas vulnerabilidades zero-day nos appliances SonicWall SMA1000 (CVE-2026-15409<\/strong> e CVE-2026-15410<\/strong>) sendo atacadas em campanhas coordenadas. A converg\u00eancia de m\u00faltiplos vetores de ataque contra infraestruturas Microsoft e appliances de acesso remoto sugere uma campanha orquestrada, possivelmente por grupos de ransomware ou atores estatais, mirando a cadeia de confian\u00e7a da identidade corporativa. A CVE-2026-56155 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> n\u00e3o \u00e9 apenas mais um CVE no boletim mensal: \u00e9 o elo que pode conectar uma invas\u00e3o perif\u00e9rica ao dom\u00ednio completo da rede.<\/p>\n

Para organiza\u00e7\u00f5es que operam ambientes h\u00edbridos, com ADFS exposto \u00e0 internet \u2014 seja para suportar autentica\u00e7\u00e3o de parceiros B2B, seja em configura\u00e7\u00f5es de confian\u00e7a com Azure AD Connect \u2014 o risco \u00e9 imediato e grave. Dados do nosso monitoramento na JRT Technology Solutions indicam que mais de 60% das empresas de m\u00e9dio e grande porte no Brasil mant\u00eam pelo menos uma inst\u00e2ncia de ADFS publicada, muitas vezes sem as segmenta\u00e7\u00f5es de rede e controles de acesso granular recomendados. Este artigo t\u00e9cnico, denso e orientado a a\u00e7\u00e3o, foi preparado para guiar sua equipe na compreens\u00e3o da falha, na avalia\u00e7\u00e3o do impacto real e, principalmente, na execu\u00e7\u00e3o das medidas de conten\u00e7\u00e3o e remedia\u00e7\u00e3o que precisam ser tomadas agora<\/strong>.<\/p>\n

1. O que \u00e9 a CVE-2026-56155 e por que sua explora\u00e7\u00e3o ativa \u00e9 cr\u00edtica<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-56155<\/td>\n<\/tr>\n
CVSS Score<\/td>\n7.8 \u2014 HIGH (CVSS 3.1)<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nLocal (AV:L) \u2014 requer acesso pr\u00e9vio ao sistema<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nMicrosoft Active Directory Federation Services (todas as vers\u00f5es suportadas at\u00e9 o momento do patch)<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-1220: Insufficient Granularity of Access Control<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n14\/07\/2026 \u2014 Patch Tuesday de julho (Microsoft) \/ 15\/07\/2026 \u2014 Adi\u00e7\u00e3o ao CISA KEV<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\n\u2705 Sim \u2014 KB5040xxx (Windows Server 2016\/2019\/2022, conforme guia MSRC)<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2026-56155<\/strong> \u00e9 classificada pela Microsoft como uma vulnerabilidade de granularidade insuficiente de controle de acesso<\/em> (Insufficient Granularity of Access Control). Na pr\u00e1tica, isso significa que o modelo de autoriza\u00e7\u00e3o do ADFS n\u00e3o distingue adequadamente entre diferentes n\u00edveis de privil\u00e9gio para determinadas opera\u00e7\u00f5es administrativas. Um atacante que j\u00e1 tenha conseguido se autenticar no servidor ADFS \u2014 seja por meio de credenciais comprometidas de um usu\u00e1rio de dom\u00ednio comum, seja explorando uma brecha anterior que conceda uma shell limitada \u2014 pode manipular chamadas de API ou interfaces de gerenciamento local para executar a\u00e7\u00f5es que deveriam ser restritas a administradores do servi\u00e7o de federa\u00e7\u00e3o.<\/p>\n

Embora o vetor de ataque seja classificado como local<\/strong> (AV:L), esse requisito n\u00e3o deve ser subestimado. Em ambientes corporativos, obter acesso local a um servidor ADFS pode ser mais simples do que parece: um funcion\u00e1rio com acesso RDP leg\u00edtimo ao servidor por raz\u00f5es operacionais, um t\u00e9cnico terceirizado com sess\u00e3o interativa, ou mesmo um malware que estabele\u00e7a um shell reverso a partir de uma esta\u00e7\u00e3o de trabalho comprometida na mesma rede \u2014 todos esses cen\u00e1rios satisfazem a pr\u00e9-condi\u00e7\u00e3o “local”. Uma vez dentro, a falha permite que o atacante escale para a cria\u00e7\u00e3o de novos certificados de token-signing, modifica\u00e7\u00e3o de regras de emiss\u00e3o de claims ou, no cen\u00e1rio mais grave, a duplica\u00e7\u00e3o de contas de servi\u00e7o com privil\u00e9gios de administrador de federa\u00e7\u00e3o.<\/p>\n

A natureza insidiosa desse tipo de vulnerabilidade \u00e9 que ela opera em uma zona cinzenta da arquitetura de seguran\u00e7a do Windows: o ADFS \u00e9, por defini\u00e7\u00e3o, um servi\u00e7o de alta confiabilidade, frequentemente instalado em servidores membros do dom\u00ednio que gozam de um n\u00edvel de prote\u00e7\u00e3o inferior ao de controladores de dom\u00ednio puros, mas que det\u00eam segredos criptogr\u00e1ficos equivalentes. A granularidade insuficiente exposta pela CVE-2026-56155 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> \u00e9 um lembrete contundente de que controles de acesso mal calibrados podem transformar um acesso aparentemente inofensivo em um desastre de propor\u00e7\u00f5es organizacionais.<\/p>\n

2. An\u00e1lise T\u00e9cnica Detalhada: a raiz da granularidade insuficiente<\/h3>\n

Para compreender a ess\u00eancia da falha, \u00e9 necess\u00e1rio mergulhar na arquitetura de autoriza\u00e7\u00e3o do ADFS. O servi\u00e7o opera com uma s\u00e9rie de endpoints de gerenciamento, alguns acess\u00edveis via WMI (Windows Management Instrumentation), outros via PowerShell (m\u00f3dulo ADFS), e ainda interfaces COM e .NET expostas localmente. O controle de acesso a essas interfaces \u00e9 mediado por uma combina\u00e7\u00e3o de associa\u00e7\u00e3o a grupos do Windows (como BUILTIN\\Administrators ou grupos personalizados de delega\u00e7\u00e3o do ADFS) e verifica\u00e7\u00f5es internas de claims do pr\u00f3prio servi\u00e7o.<\/p>\n

A CVE-2026-56155<\/strong> reside exatamente na interse\u00e7\u00e3o dessas verifica\u00e7\u00f5es: em determinadas condi\u00e7\u00f5es, a l\u00f3gica de autoriza\u00e7\u00e3o falha em validar se o chamador possui o n\u00edvel de privil\u00e9gio adequado para opera\u00e7\u00f5es que envolvem a manipula\u00e7\u00e3o de objetos de confian\u00e7a (relying party trusts) ou de provedores de claims. Um usu\u00e1rio que perten\u00e7a a um grupo com permiss\u00f5es operacionais limitadas (por exemplo, um operador autorizado a executar Get-ADFSProperties ou consultar logs) pode, atrav\u00e9s de chamadas malformadas a APIs n\u00e3o devidamente protegidas, executar cmdlets como Add-ADFSRelyingPartyTrust ou Set-ADFSGlobalAuthenticationPolicy, que deveriam ser exclusivos de administradores de federa\u00e7\u00e3o.<\/p>\n

Esse comportamento \u00e9 consistente com a classifica\u00e7\u00e3o CWE-1220 \u2014 Insufficient Granularity of Access Control<\/em> \u2014 que descreve situa\u00e7\u00f5es em que o produto n\u00e3o implementa controles de acesso suficientemente detalhados para distinguir entre diferentes a\u00e7\u00f5es que um mesmo sujeito pode ou n\u00e3o realizar. No caso do ADFS, a granularidade insuficiente manifesta-se na camada de autoriza\u00e7\u00e3o das APIs locais, onde verifica\u00e7\u00f5es bin\u00e1rias de “est\u00e1 autenticado? sim\/n\u00e3o” substituem, indevidamente, verifica\u00e7\u00f5es baseadas em fun\u00e7\u00f5es (RBAC) ou claims espec\u00edficas.<\/p>\n

Do ponto de vista de explora\u00e7\u00e3o, um atacante que j\u00e1 detenha uma sess\u00e3o interativa no servidor ADFS \u2014 mesmo como um usu\u00e1rio de dom\u00ednio sem privil\u00e9gios administrativos locais \u2014 pode invocar diretamente as interfaces vulner\u00e1veis atrav\u00e9s de scripts PowerShell ou bin\u00e1rios .NET compilados, contornando assim os guardrails que o m\u00f3dulo ADFS normalmente imporia. A Microsoft confirmou, no boletim de seguran\u00e7a, que a vulnerabilidade pode ser explorada por “um atacante autorizado”, o que, na pr\u00e1tica, abrange qualquer conta de dom\u00ednio com capacidade de login local no servidor, uma condi\u00e7\u00e3o trivial em organiza\u00e7\u00f5es que n\u00e3o segmentam rigorosamente o acesso aos servidores de federa\u00e7\u00e3o.<\/p>\n

\u00c9 importante destacar que a CVE-2026-56155 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> n\u00e3o requer intera\u00e7\u00e3o do usu\u00e1rio (UI:N) e tem complexidade de ataque baixa (AC:L), conforme m\u00e9tricas do CVSS. O \u00fanico fator que impede uma pontua\u00e7\u00e3o ainda mais alta \u00e9 o pressuposto de acesso local pr\u00e9vio, mas, conforme discutido, essa pr\u00e9-condi\u00e7\u00e3o \u00e9 fr\u00e1gil em muitos ambientes.<\/p>\n

3. Produtos e Vers\u00f5es Afetados pela CVE-2026-56155<\/h3>\n

A Microsoft disponibilizou patches para todas as vers\u00f5es suportadas do Windows Server que incluem o papel de Active Directory Federation Services. A lista completa de vers\u00f5es afetadas e os respectivos updates cumulativos \u00e9 a seguinte:<\/p>\n