Keycloak

26.7.1Security

2026年8月5日リンクをコピー

Keycloak 26.7.1は、OIDC requestobject検証、管理画面権限昇格、細粒度管理者権限(FGAP v2)の複数回避にわたる5件のCVEを修正するセキュリティパッチです。

• securityJWEリクエストオブジェクトがrequestObjectSignatureAlgの強制を回避

  JWE形式のリクエストオブジェクトを使用すると、requestObjectSignatureAlg設定の強制が回避される問題が修正されました(CVE-2026-9793)。修正はv26.7.1に含まれます。

• securitymanage-clients画面でのロールマッパーを利用した権限昇格

  manage-clients管理画面のロールマッパーがハードコードされた役割を注入することで、権限昇格が可能でした(CVE-2026-4629)。修正はv26.7.1に含まれます。

• securityFGAP v2下でのユーザー情報開示(brute-force-user拡張機能)

  FGAP v2(細粒度管理者権限)を使用するデプロイメントで、Admin UI Extension brute-force-userが検索フィルタid:で無許可ユーザー情報を開示していました(CVE-2026-14209)。修正はv26.7.1に含まれ、FGAP v2を利用している環境が対象です。

• securityFGAP v2のクライアントスコープ割り当て権限チェック回避

  FGAP v2(細粒度管理者権限)を使用するデプロイメントで、クライアントスコープ割り当ての権限チェックが回避される問題が修正されました(CVE-2026-14614)。修正はv26.7.1に含まれ、FGAP v2を利用している環境が対象です。

• securityFGAP v2の親グループ子エンドポイント権限フィルタ回避

  FGAP v2(細粒度管理者権限)を使用するデプロイメントで、親グループの子エンドポイントが子個別の表示権限フィルタを無視する問題が修正されました(CVE-2026-14615)。修正はv26.7.1に含まれ、FGAP v2を利用している環境が対象です。

• breakingWebAuthn認証器attachment設定ポリシーの非適用

  WebAuthn認証器のattachment設定において、クライアントがattachmentフィールドを送信しない場合、アプリケーション側の制限ポリシーが適用されない動作が生じます。修正はv26.7.1に含まれます。