CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
Keycloak 26.6.1では、HTTPリダイレクト処理とidentity-first loginに関する修正が含まれます。これらの機能を利用する環境に関係するリリースです。
要対応 (2)
securitymediumCVE-2026-4366のHTTPリダイレクト処理におけるSSRF修正
HTTPリダイレクト処理を介したブラインドサーバーサイドリクエストフォージェリ（SSRF）を修正しました。対象はcoreです。
securitylowCVE-2026-4633のユーザー列挙問題の修正
identity-first loginでKeycloakユーザーを列挙できる問題を修正しました。対象はcoreです。
運用者向けの機能追加と保守改善に加え、設定やデプロイ方法、性能、既定値に関する変更を含むリリースです。Token Exchange v1 の非推奨化に加え、認可回避、IDやURLの扱い、SCIMのアクセス制御、フィッシング対策、UMAトークン検証に関する修正も含まれます。
要対応 (6)
securityパスワードとOTPのブルートフォース保護の分離
パスワードと OTP のブルートフォース保護が分離され、OTP バイパス攻撃を防ぐ設定がデフォルトになりました。
securityResourceAdminManagerのURL構築検証の修正
ResourceAdminManager で、Matrix Parameter InjectionによるURLが検証されないまま構築される問題が修正されました。
securityクライアント取得時のフィッシング対策チェックの修正
クライアント取得時にanti-ID phishingチェックが欠落していた問題が修正されました。
breakingゼロダウンタイムパッチリリースの既定有効化
zero-downtime patch releases がサポート対象となり、デフォルトで有効になります。
breakingKubernetes向けトラストストア設定の既定有効化
--truststore-kubernetes-enabled の動作がデフォルトで有効になりました。
breakingnot-before検証の既定値変更
not-before検証のデフォルト値が0秒から10秒に変更されました。
影響確認 (7)
securityWorkflows 実行時の管理権限境界回避の修正
Workflows を使用している場合に該当します。
Workflows の実行で、manage-realm から realm-admin への管理者権限境界を回避できる問題が修正されました。
securityOrganizationsログイン時のIdPエイリアス漏えいの修正
Organizations を使用している場合に該当します。
組織が解決されない場合に、Organizationsのログイン処理からIdPエイリアスが漏れる問題が修正されました。
securitySCIM PUTエンドポイントのID上書きによるリソース変更の修正
SCIM を使用している場合に該当します。
SCIM PUTエンドポイントで、リクエストボディのIDによる上書きによってリソースを変更できる問題（IDOR）が修正されました。
事前準備 (1)
deprecatedToken Exchange v1 の非推奨化
Token Exchange v1 を使用している場合に該当します。
Token Exchange v1 が非推奨になりました。
公開された7件のセキュリティ脆弱性を修正し、Quarkusの依存関係を更新しています。Hostヘッダーのないリクエストで未捕捉エラーが発生する不具合も修正しました。
要対応 (1)
securitymediumCVE-2026-1002の静的ファイルアクセス拒否を修正
静的ファイルへのアクセスを拒否できる、io.の静的ハンドラーコンポーネントキャッシュの操作を修正しました。
影響確認 (6)
securityhighCVE-2026-4634のScope ProcessingによるDoSを修正
Scope Processingを利用している場合に該当します。
Scope Processingを介したアプリケーションレベルのDoSにつながる問題を修正しました。
securityhighCVE-2026-4636のUMAポリシーリソース注入を修正
UMAを利用している場合に該当します。
UMAポリシーのリソース注入によって、別ユーザーへの権限付与が不正に行われる問題を修正しました。
securityhighCVE-2026-3872のリダイレクトURI検証回避を修正
OIDCを利用している場合に該当します。
OIDC認証エンドポイントで.のパストラバーサルを使ってリダイレクトURIの検証を回避できる問題を修正しました。
