Keycloak

26.7.5Security

2026年9月30日

ACTION 4CHECK 11OTHER 13

セキュリティ修正を中心としたメンテナンスリリースで、依存関係の更新と正確性・安定性の不具合修正も含まれます。管理UIでIdentity Providerを管理する場合は、レルム内のクライアントロールが必要になりました。

要対応 (4)

securitycriticalorg.freemarker:freemarkerの依存関係を更新
CVE-2026-84939に対応して、依存関係org.freemarker:freemarkerを更新しました。
securityhighowasp-java-html-sanitizerの依存関係を更新
CVE-2025-66021に対応して、依存関係com.googlecode.owasp-java-html-sanitizer:owasp-java-html-sanitizerを更新しました。
securityhighorg.bouncycastle:bc-fipsの依存関係を更新
CVE-2026-8798に対応して、依存関係org.bouncycastle:bc-fipsを更新しました。
securityhighorg.bouncycastle:bc-fipsの更新で脆弱性に対応
CVE-2026-13505に対応して、依存関係org.bouncycastle:bc-fipsを更新しました。

影響確認 (11)

securitymediumCIBAのブルートフォースロックアウト回避を修正
oidcを使用している場合に適用されます。
CVE-2026-16103として、トークン引き換え時に発生するKeycloak CIBAのブルートフォースロックアウト回避に対する修正が不完全だった問題を修正しました。関連するCVE-2026-9798にも対応しています。
securitymediumグループポリシーの子拡張による誤一致を修正
authorization-servicesを使用している場合に適用されます。
CVE-2026-18203に対応し、グループポリシーの子拡張が兄弟グループのパス接頭辞に一致する問題を修正しました。
securitymedium送信元グループ条件の重複名判定を修正
oidcを使用している場合に適用されます。
CVE-2026-18207に対応し、送信元グループ条件が同名のグループに一致し、否定条件の適用を回避できる問題を修正しました。
securitymediumイントロスペクション応答のJWTクレーム漏えいを修正
oidcを使用している場合に適用されます。
CVE-2026-18208に対応し、対象外の非アクティブなイントロスペクション応答に署名済みJWTクレームが含まれる問題を修正しました。
securitymediumsecure-client-urisのlocalhost例外を修正
oidcを使用している場合に適用されます。
CVE-2026-18211に対応し、secure-client-urisのlocalhost例外が、localhostで始まる攻撃者ドメインを受け入れる問題を修正しました。
securitymediumクライアントシークレットの開示を修正
oidcを使用している場合に適用されます。
CVE-2026-89298に対応し、Client Registration GETによって機密クライアントシークレットがview-clientsロールに開示される問題を修正しました。
securitymediumDevice Authorization Grantのトークン発行を修正
oidcを使用している場合に適用されます。
CVE-2026-88770に対応し、Device Authorization Grantがブルートフォース攻撃によるロック状態のアカウントにもトークンを発行する問題を修正しました。関連するCVE-2026-9798にも対応しています。
securitymedium無効な対象クライアントへのトークン発行を修正
token-exchangeを使用している場合に適用されます。
CVE-2026-93999に対応し、無効化された対象クライアントに対しても、token-exchangeの更新処理がトークンを発行し続ける問題を修正しました。
securitylowクライアントポリシーのホスト名ワイルドカード判定を修正
oidcを使用している場合に適用されます。
CVE-2026-18206に対応し、クライアントポリシーの送信元ホストに指定したワイルドカードドメインが、サブドメインではない接尾辞にも一致する問題を修正しました。
securitylowSAML Redirect Bindingのパラメーター汚染を修正
samlを使用している場合に適用されます。
CVE-2026-18217に対応し、SAML Redirect Bindingでパラメーターが汚染される問題を修正しました。
breaking管理UIでIdentity Providerを管理するための権限要件を変更
admin/uiを使用している場合に適用されます。
管理UIでIdentity Providerを管理する際に、レルム内のクライアントロールが必要になりました。

その他の記録済み変更 13 件すべてfixes 11 · value changes 2

fixes (11)

DCR: Registration access token allows protocol switch from OIDC to SAML <code>oidc</code>
Missing input length validation on username field causes outsized log generation in /login-actions/authenticate <code>authentication</code>
Upgrade to 26.7.0 crashes under several tested scenarios. LazyInitializationException on non-deterministic getRealmsStream() order after DB dump/restore. <code>infinispan</code>
PAR request URI lifespan is used as a hard cap on interactive login duration <code>oidc</code>
[quarkus-next] BouncyCastle 1.85 breaks SAML client creation when client ID exceeds 64 characters <code>dist/quarkus</code>
New Infinispan node joining the cluster becomes a command target/coordinator before its cache components are ready - ISPN000136 failures during Keycloak rolling restarts <code>infinispan</code>
DEBUG logging breaks persistent client session locking <code>storage</code>
Identity Provider Mappers - organization group targets do not resolve <code>organizations</code>
Event listeners receive the wrong event type when an EventBuilder is reused (e.g. FEDERATED_IDENTITY_LINK is logged and emailed as LOGIN) <code>core</code>
Admin Permissions filtering is applied to organization lookups during end-user authentication <code>organizations</code>
Format string mismatches in logging statements cause silent argument loss and potential MissingFormatArgumentException <code>core</code>

value changes (2)

Upgrade to Quarkus 3.33.4 <code>dist/quarkus</code>
Improve retrieval of large read-only resources via admin API <code>storage</code>

Keycloakをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。今回のセキュリティパッチと破壊的変更も、その一例です。

スタックに追加 →

公式リリースノート ↗Keycloakのリリース一覧 →