RATATOSKRATATOSK
ログイン

リリース

CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。

緊急度
すべて要対応影響確認事前準備
性格
すべてSecurityBreakingDeprecated
カテゴリ
すべてAI & MLCI/CD & App DeliveryKubernetes CoreNetworking & MessagingObservabilityOrchestration & ManagementProvisioning & RuntimeSecurityStorage & Data
プロジェクト: Keycloak解除 ×
Keycloak26.7.0Security2026年7月9日
ACTION 1CHECK 19PLAN 4OTHER 258分析を詳しく見る

Operatorを中心に、API、機能フラグ、管理機能、デプロイ方法が拡張されました。一方で、既存のオプションや実装の非推奨化と削除が進み、アカウント乗っ取り、ログや監査記録の偽造、認証検証の回避、DoSなどに関するセキュリティ問題と複数の不具合も修正されています。

要対応 (1)

  • securityアカウント乗っ取り前の攻撃につながる問題を修正

    アカウント乗っ取り前の攻撃につながる余地が残る問題を修正しました。

影響確認 (19)

  • securitymediumCVE-2026-9796の権限確認回避を修正

    manage-clientsを使用している場合に該当します。

    manage-clientsから管理者ロール名を変更した際にcheckAdminRolesの確認を回避でき、レルム全体の権限昇格につながる問題を修正しました。

  • securitymediumCVE-2026-9689のレスポンスパラメータ重複を修正

    OIDCを使用している場合に該当します。

    OIDCのリダイレクトURIでHTTPパラメータ汚染が発生し、レスポンスパラメータを重複させられる問題を修正しました。

  • securitymediumCVE-2026-9798のアカウントロック回避を修正

    CIBA認証フローを実行している場合に該当します。

    CIBA認証フローでブルートフォース攻撃によるアカウントロックを回避できる問題を修正しました。

  • リリースページにあと 16 件

事前準備 (4)

  • deprecatedV1の非推奨化

    V1を使用している場合に該当します。

    V1は非推奨になりましたが、後方互換性のためデフォルトでは引き続き有効です。

  • deprecatedRequire Discoverable Credentialの非推奨化

    Require Discoverable Credentialオプションを設定している場合に該当します。

    従来のRequire Discoverable Credentialオプションは非推奨になりました。

  • deprecatedTwitter IDP実装の非推奨化

    Twitter IDP実装を使用している場合に該当します。

    古いtwitter4jライブラリを使用しているため、Twitter IDP実装が非推奨になりました。

  • リリースページにあと 1 件
原文 ↗
Keycloak26.6.3Security2026年6月4日
ACTION 2CHECK 15OTHER 30分析を詳しく見る

認証、認可、アカウントおよび管理 API、フェデレーション、依存ライブラリに関するセキュリティ修正を含みます。起動時の動作や SPI の設定、その他の正確性に関する修正も追加されています。

要対応 (2)

  • securityhighlodash のコードインジェクション脆弱性を修正

    CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。

  • securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正

    CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。

影響確認 (15)

  • securitymediumKeycloak Server のアクセス制御を修正

    account/api を利用している場合に該当します。

    CVE-2026-7500 に関連する、Keycloak Server の不適切なアクセス制御を修正しました。

  • securitymediumOIDC トークンイントロスペクションの notBefore 処理を修正

    oidc を利用している場合に該当します。

    CVE-2026-8922 に関連する、OIDC トークンイントロスペクションがレルムレベルの notBefore を無視する問題を修正しました。

  • securitymediumサーバー側 WebAuthn 検証の不足を修正

    authentication/webauthn を利用している場合に該当します。

    CVE-2026-8830 に関連する、サーバー側の WebAuthn 検証が不足している問題を修正しました。

  • リリースページにあと 12 件
原文 ↗
Keycloak26.6.2Security2026年5月19日
ACTION 6CHECK 12OTHER 13分析を詳しく見る

公開された複数の CVE を含むセキュリティ修正に加え、依存関係の更新、機能改善、バグ修正が含まれています。セキュリティ修正と、operator の更新時にオブジェクトの削除が必要になる問題の修正が、更新に関係する主な内容です。

要対応 (6)

  • securityhighHTTP/2 CONTINUATION フレーム大量送信によるサービス拒否の修正

    CVE-2026-33871 に関する、HTTP/2 CONTINUATION フレームの大量送信によるサービス拒否の問題を修正しました。

  • securityhighChunked Extension 解析を悪用した HTTP リクエストスマグリングの修正

    CVE-2026-33870 に関する、Chunked Extension の Quoted-String 解析を悪用した HTTP リクエストスマグリングの問題を修正しました。

  • securityhighbouncycastle に関する複数の問題の修正

    CVE-2026-0636、CVE-2026-3505、CVE-2026-5598 に関する bouncycastle の問題を修正しました。

  • securityhighリダイレクト URI 検証回避の修正

    CVE-2026-7504 に関する、Keycloak のリダイレクト URI 検証を回避できる問題を修正しました。

  • securitymediumbcpkix モジュールの暗号アルゴリズム問題の修正

    CVE-2026-5588 に関する、Bouncy Castle Crypto Package For Java の bcpkix モジュールで、危険または破損した暗号アルゴリズムが使用される問題を修正しました。

  • security権限およびポリシー呼び出し順序による client ID 露出の修正

    権限とポリシーの呼び出し順序によって client ID が露出する問題を修正しました。

影響確認 (12)

  • securityhigh/saml エンドポイントへの細工したリクエストによるサービス拒否の修正

    /saml を使用している場合に適用されます。

    CVE-2026-7307 に関する、細工したリクエストを /saml エンドポイントへ送信した際に発生するサービス拒否の問題を修正しました。

  • securityhighimplicit flow の回避とアクセストークン開示の修正

    implicit flow を使用している場合に適用されます。

    CVE-2026-7571 に関する、偽造したクライアントデータによるアクセストークンの開示と implicit flow の回避を修正しました。

  • securityhighOIDC ログインフローのセッション固定の修正

    OIDC login flow を使用している場合に適用されます。

    CVE-2026-7507 に関する、アカウント乗っ取りにつながる OIDC ログインフローのセッション固定を修正しました。

  • リリースページにあと 9 件
原文 ↗
Keycloak26.6.0Security2026年4月8日
ACTION 6CHECK 7PLAN 1OTHER 269分析を詳しく見る

運用者向けの機能追加と保守改善に加え、設定やデプロイ方法、性能、既定値に関する変更を含むリリースです。Token Exchange v1 の非推奨化に加え、認可回避、IDやURLの扱い、SCIMのアクセス制御、フィッシング対策、UMAトークン検証に関する修正も含まれます。

要対応 (6)

  • securityパスワードとOTPのブルートフォース保護の分離

    パスワードと OTP のブルートフォース保護が分離され、OTP バイパス攻撃を防ぐ設定がデフォルトになりました。

  • securityResourceAdminManagerのURL構築検証の修正

    ResourceAdminManager で、Matrix Parameter InjectionによるURLが検証されないまま構築される問題が修正されました。

  • securityクライアント取得時のフィッシング対策チェックの修正

    クライアント取得時にanti-ID phishingチェックが欠落していた問題が修正されました。

  • breakingゼロダウンタイムパッチリリースの既定有効化

    zero-downtime patch releases がサポート対象となり、デフォルトで有効になります。

  • breakingKubernetes向けトラストストア設定の既定有効化

    --truststore-kubernetes-enabled の動作がデフォルトで有効になりました。

  • breakingnot-before検証の既定値変更

    not-before検証のデフォルト値が0秒から10秒に変更されました。

影響確認 (7)

  • securityWorkflows 実行時の管理権限境界回避の修正

    Workflows を使用している場合に該当します。

    Workflows の実行で、manage-realm から realm-admin への管理者権限境界を回避できる問題が修正されました。

  • securityOrganizationsログイン時のIdPエイリアス漏えいの修正

    Organizations を使用している場合に該当します。

    組織が解決されない場合に、Organizationsのログイン処理からIdPエイリアスが漏れる問題が修正されました。

  • securitySCIM PUTエンドポイントのID上書きによるリソース変更の修正

    SCIM を使用している場合に該当します。

    SCIM PUTエンドポイントで、リクエストボディのIDによる上書きによってリソースを変更できる問題（IDOR）が修正されました。

  • リリースページにあと 4 件

事前準備 (1)

  • deprecatedToken Exchange v1 の非推奨化

    Token Exchange v1 を使用している場合に該当します。

    Token Exchange v1 が非推奨になりました。

原文 ↗
Keycloak26.5.0Security2026年1月6日
CHECK 2PLAN 1OTHER 247分析を詳しく見る

機能追加と保守改善を含み、運用機能の拡充、Quarkusの更新、動作上の問題の修正が行われています。既存環境では、非推奨化やサポート対象の変更、設定に関わる脆弱性の影響を確認したうえで、早めの更新が適しています。

影響確認 (2)

  • securityブルートフォース検知設定の脆弱性修正

    ブルートフォース検知設定を構成している場合に該当します。

    ブルートフォース検知設定の脆弱性が修正されました。

  • breakingPostgreSQL 13.x のサポート削除

    PostgreSQL 13.x に依存している場合に該当します。

    PostgreSQL 13.x のサポートが削除されました。

事前準備 (1)

  • deprecatedadmin/fine-grained-permissions の非推奨化

    admin/fine-grained-permissions を有効にしている場合に該当します。

    Fine-Grained Admin Permissions v1 が非推奨になりました。

原文 ↗
月別に見る
2026年8月2026年7月2026年6月2026年5月2026年4月2026年3月2026年2月2026年1月2025年12月2025年11月2025年10月2025年9月2025年8月2025年7月2025年6月2025年5月2025年4月2025年3月2025年2月2025年1月2024年12月2024年11月2024年10月2024年9月2024年8月2024年7月2024年6月2024年5月2024年4月2024年3月2024年2月2024年1月2023年12月2023年11月2023年10月2023年9月