Il livello che regge l'identità: la falla di privilegio in AD FS

Dove si decide "chi sei"

Active Directory Federation Services non è un prodotto che l'utente finale vede. È l'ingranaggio che, dietro le quinte, consente a una persona di autenticarsi una volta nella propria organizzazione e di essere riconosciuta da applicazioni e servizi esterni senza inserire di nuovo le credenziali. Emette i token che gli altri servizi si fidano di accettare. In molte imprese e in molte pubbliche amministrazioni è il livello su cui poggia il single sign-on: il posto dove si decide, tecnicamente, "chi sei".

La CVE-2026-56155 è, nella descrizione di Microsoft ripresa dall'NVD, una insufficiente granularità del controllo degli accessi che permette a un attaccante autorizzato di elevare i privilegi in locale. Tradotto: chi ha già un piede dentro il sistema — un account con permessi limitati, una sessione ottenuta in altro modo — può usarla per salire di livello. Non apre la porta d'ingresso; allarga i poteri di chi la porta l'ha già varcata.

Perché una "7.8 locale" merita attenzione

C'è una tentazione comprensibile, quando si legge "richiede accesso locale" e "attaccante autorizzato", di derubricare la questione. È lo stesso ragionamento che porta a mettere in fondo alla coda delle patch tutto ciò che non è sfruttabile da internet con un clic. Ma qui contano due cose che il solo punteggio non cattura.

La prima è la posizione. Una scalata di privilegi su un server qualsiasi è un problema locale; una scalata di privilegi sul server che emette i token di identità è un problema che si propaga. Chi arriva a controllare AD FS non controlla un'applicazione: controlla la fiducia che tutte le applicazioni ripongono in quei token. È la differenza fra rubare una chiave e diventare il fabbro.

La seconda è che non stiamo ragionando su un'ipotesi. L'inserimento nel catalogo CISA KEV significa che la vulnerabilità è sfruttata attivamente da qualcuno, da qualche parte. Le vulnerabilità di privilege escalation raramente sono il primo passo di un attacco; sono il secondo, quello che trasforma un accesso modesto in controllo. Che questa sia già in uso dice che qualcuno la sta impiegando proprio in quella funzione.

1. 01
   Accesso iniziale già ottenuto

   credenziali limitate, phishing, altro exploit
2. 02
   CVE-2026-56155 in locale

   il controllo accessi a grana grossa consente la scalata
3. 03
   Privilegi elevati su AD FS

   si agisce sul componente che governa l'identità

Cosa fare, e cosa non sappiamo

L'azione è netta: applicare l'aggiornamento Microsoft indicato nella scheda MSRC, dando all'AD FS la priorità che merita un componente di identità, non quella di un server di reparto. La scadenza della CISA — 28 luglio — è un buon riferimento anche per chi non è tenuto formalmente a rispettarla.

Le incertezze vanno dette. Gli identificatori MITRE ATT&CK riportati (T1068, T1078) sono una mappatura ragionata sul tipo di vulnerabilità, non ID pubblicati nell'advisory Microsoft; li presentiamo come lettura. Non è pubblico, al momento, chi stia sfruttando la falla né contro quali obiettivi: il catalogo CISA registra lo sfruttamento, non lo attribuisce. E il perimetro reale dell'esposizione dipende da quante organizzazioni usano ancora AD FS on-premises invece di aver migrato la federazione verso servizi cloud — un dato che varia molto da settore a settore e che nessuna fonte, qui, quantifica in modo affidabile. Quello che è certo è dove sta la falla. E sul livello dell'identità, "solo 7.8" non è una scusa per aspettare.