リリース

要対応 (2)

• securitymediumjackson-databind を 2.21.5 に更新

  CVE-2026-59888 および CVE-2026-59889 への対応として、jackson-databind が 2.21.5 に更新されました。

• securitymediumOpenTelemetry Java SDK の無制限メモリ割り当てを修正

  OpenTelemetry Java SDK の W3C Baggage Propagation におけるメモリの無制限割り当てを修正しました。対象は CVE-2026-45292 です。

影響確認 (12)

• securityhighpathmatcher におけるURI照合による認可回避の修正

  pathmatcher を使用している場合に適用されます。

  CVE-2026-15573 に対応し、pathmatcher で正規化されていないURIを照合した際に認可を回避できる問題を修正しました。

• securityhighDCRのプロトコルマッパー型置換によるポリシー回避の修正

  DCRを使用している場合に適用されます。

  CVE-2026-15572 に対応し、DCRのプロトコルマッパーの型を入れ替えることでポリシーを回避し、権限を昇格できる問題を修正しました。

• securityhighSAMLブローカーのリンク限定ログイン回避の修正

  SAMLブローカーを使用している場合に適用されます。

  CVE-2026-16442 に対応し、SAMLブローカーのIdP起点ログインがリンクのみの制限を回避できる問題を修正しました。

• リリースページにあと 9 件

要対応 (1)

• securityアカウント乗っ取り前の攻撃につながる問題を修正

  アカウント乗っ取り前の攻撃につながる余地が残る問題を修正しました。

要対応 (2)

• securityhighlodash のコードインジェクション脆弱性を修正

  CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。

• securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正

  CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。

要対応 (6)

• securityhighHTTP/2 CONTINUATION フレーム大量送信によるサービス拒否の修正

  CVE-2026-33871 に関する、HTTP/2 CONTINUATION フレームの大量送信によるサービス拒否の問題を修正しました。

• securityhighChunked Extension 解析を悪用した HTTP リクエストスマグリングの修正

  CVE-2026-33870 に関する、Chunked Extension の Quoted-String 解析を悪用した HTTP リクエストスマグリングの問題を修正しました。

• securityhighbouncycastle に関する複数の問題の修正

  CVE-2026-0636、CVE-2026-3505、CVE-2026-5598 に関する bouncycastle の問題を修正しました。

• securityhighリダイレクト URI 検証回避の修正

  CVE-2026-7504 に関する、Keycloak のリダイレクト URI 検証を回避できる問題を修正しました。

• securitymediumbcpkix モジュールの暗号アルゴリズム問題の修正

  CVE-2026-5588 に関する、Bouncy Castle Crypto Package For Java の bcpkix モジュールで、危険または破損した暗号アルゴリズムが使用される問題を修正しました。

• security権限およびポリシー呼び出し順序による client ID 露出の修正

  権限とポリシーの呼び出し順序によって client ID が露出する問題を修正しました。

要対応 (6)

• securityパスワードとOTPのブルートフォース保護の分離

  パスワードと OTP のブルートフォース保護が分離され、OTP バイパス攻撃を防ぐ設定がデフォルトになりました。

• securityResourceAdminManagerのURL構築検証の修正

  ResourceAdminManager で、Matrix Parameter InjectionによるURLが検証されないまま構築される問題が修正されました。

• securityクライアント取得時のフィッシング対策チェックの修正

  クライアント取得時にanti-ID phishingチェックが欠落していた問題が修正されました。

• breakingゼロダウンタイムパッチリリースの既定有効化

  zero-downtime patch releases がサポート対象となり、デフォルトで有効になります。

• breakingKubernetes向けトラストストア設定の既定有効化

  --truststore-kubernetes-enabled の動作がデフォルトで有効になりました。

• breakingnot-before検証の既定値変更

  not-before検証のデフォルト値が0秒から10秒に変更されました。

要対応 (1)

• securitymediumCVE-2026-1002の静的ファイルアクセス拒否を修正

  静的ファイルへのアクセスを拒否できる、io.vertx/vertx-coreの静的ハンドラーコンポーネントキャッシュの操作を修正しました。

影響確認 (8)

• securitymediumOIDC Dynamic Client Registration の SSRF 修正

  OIDC Dynamic Client Registration を利用している場合に適用されます。

  OIDC Dynamic Client Registration の jwks_uri を介したブラインド Server-Side Request Forgery（SSRF）を修正しました。該当する脆弱性は CVE-2026-1180 です。

• securitymediumrealm のクライアント操作における IDOR の修正

  適用対象はリリースノートに明記されていません。

  realm のクライアント作成および削除における Keycloak の IDOR を修正しました。該当する脆弱性は CVE-2025-14777 です。

• securitymediummanage-clients permission による権限昇格の修正

  manage-clients permission を設定している場合に適用されます。

  manage-clients permission による権限昇格を修正しました。該当する脆弱性は CVE-2026-3121 です。

• リリースページにあと 5 件

影響確認 (4)

• securityhighCVE-2026-3047 の SAML broker 認証バイパスを修正

  SAML brokerを使用し、disabled SAML clientを設定している場合に該当します。

  disabled SAML client が IdP-initiated login を完了できてしまうことで発生する認証バイパスを修正しています。

• securityhighCVE-2026-3009 の無効なIdentity Providerの扱いを修正

  Disabled Identity Providerを設定している場合に該当します。

  Disabled Identity Provider の無効化状態が IdentityBrokerService で適切に適用されない問題を修正しています。

• securityhighCVE-2026-2603 の無効なSAML IdPによるログインを修正

  Disabled SAML IdPを設定している場合に該当します。

  Disabled SAML IdP が IdP-initiated broker login を許可してしまう問題を修正しています。

• リリースページにあと 1 件

要対応 (2)

• securitymediumCVE-2026-0707 のAuthorizationヘッダー解析問題を修正

  CVE-2026-0707 に関して、Authorizationヘッダーの解析がセキュリティ制御の回避につながる問題を修正しました。

• securitylowCVE-2025-5416 に関する環境情報の問題を修正

  keycloak-core における環境情報に関する問題を修正しました。

影響確認 (1)

• securityOrganization 機能でアカウント名が自動表示・入力される問題の修正

  Organization 機能を利用している場合に該当します。

  Organization 機能で、アカウント名がユーザー名／パスワードフォームに自動表示され、入力欄にも入る問題を修正しました。

影響確認 (2)

• securityブルートフォース検知設定の脆弱性修正

  ブルートフォース検知設定を構成している場合に該当します。

  ブルートフォース検知設定の脆弱性が修正されました。

• breakingPostgreSQL 13.x のサポート削除

  PostgreSQL 13.x に依存している場合に該当します。

  PostgreSQL 13.x のサポートが削除されました。