Keycloak
26.7.5Security보안 취약점 수정과 관련 의존성 변경을 중심으로 한 유지 보수 릴리스입니다. 정확성과 안정성 문제를 바로잡았으며, 관리 UI에서 ID 공급자를 관리할 때 영역의 클라이언트 역할이 필요해졌습니다.
조치 필요 (4)
securitycriticalFreeMarker 의존성 변경
org.와 관련된 CVE-2026-84939의 의존성 값을 변경했습니다.freemarker:freemarker securityhighOWASP HTML Sanitizer 의존성 변경
dependencies에서 CVE-2025-66021과com.에 해당하는 값을 변경했습니다.googlecode. owasp-java-html-sanitizer:owasp-java-html-sanitizer securityhighBouncy Castle FIPS 의존성 변경
dependencies에서org.와 관련된 CVE-2026-8798의 값을 변경했습니다.bouncycastle:bc-fips securityhighBouncy Castle FIPS 의존성 변경
dependencies에서org.와 관련된 CVE-2026-13505의 값을 변경했습니다.bouncycastle:bc-fips
영향 확인 (11)
securitymedium토큰 교환 시 무차별 대입 잠금 우회 수정
oidc를 사용하는 경우 적용됩니다.oidc에서 토큰 교환 시 발생하는 CVE-2026-16103을 수정했습니다. CVE-2026-9798에 대한 불완전한 수정으로 토큰을 발급받을 때 무차별 대입 잠금 우회를 할 수 있던 문제가 바로잡혔습니다.securitymedium그룹 정책 하위 확장의 경로 접두사 일치 수정
authorization-services를 사용하는 경우 적용됩니다.authorization-services의 그룹 정책 하위 확장이 형제 그룹 경로 접두사와 일치하던 문제를 수정했습니다.securitymedium중복 그룹 이름에 따른 소스 그룹 조건 처리 수정
oidc를 사용하는 경우 적용됩니다.oidc의 소스 그룹 조건이 이름이 같은 그룹과 일치하고 부정 논리 적용을 건너뛸 수 있던 문제를 수정했습니다.securitymedium인트로스펙션 응답의 JWT 클레임 처리 수정
oidc를 사용하는 경우 적용됩니다.oidc에서 비활성 상태인 대상 외부 인트로스펙션 응답에 서명된 JWT 클레임이 포함될 수 있던 문제를 수정했습니다.securitymedium
localhost예외의 도메인 검증 수정oidc를 사용하는 경우 적용됩니다.oidc의 보안 클라이언트 URI에서localhost예외가localhost로 시작하는 공격자 도메인을 허용하던 문제를 수정했습니다.securitymedium클라이언트 등록 응답의 시크릿 노출 수정
oidc를 사용하는 경우 적용됩니다.oidc의 클라이언트 등록 GET 요청에서view-clients역할에 기밀 클라이언트 시크릿이 노출되던 CVE-2026-89298을 수정했습니다.securitymedium잠긴 계정에 대한 기기 권한 부여 토큰 발급 수정
oidc를 사용하는 경우 적용됩니다.oidc의 기기 권한 부여에서 무차별 대입으로 잠긴 계정에 토큰을 발급하던 CVE-2026-88770을 수정했습니다. 이 문제는 CVE-2026-9798과 연관되어 있습니다.securitymedium비활성 대상 클라이언트의 토큰 교환 발급 수정
token-exchange를 사용하는 경우 적용됩니다.token-exchange에서 비활성화된 대상 클라이언트에 토큰을 계속 발급하던 CVE-2026-93999를 수정했습니다.securitylow소스 호스트 와일드카드 도메인 일치 수정
oidc를 사용하는 경우 적용됩니다.oidc의 클라이언트 정책에서 소스 호스트 와일드카드 도메인이 하위 도메인이 아닌 접미사와 일치하던 문제를 수정했습니다.securitylowSAML 리디렉션 바인딩 매개변수 중복 수정
saml을 사용하는 경우 적용됩니다.saml의 SAML 리디렉션 바인딩에서 매개변수 중복이 발생하던 문제를 수정했습니다.breaking관리 UI의 ID 공급자 관리 권한 요구 사항 변경
admin/ui를 사용하는 경우 적용됩니다.admin/ui에서 영역의 클라이언트 역할이 있어야 관리 UI에서 ID 공급자를 관리할 수 있도록 요구 사항을 변경했습니다.
그 외 기록된 변경 13건 전체fixes 11 · value changes 2
fixes (11)
- DCR: Registration access token allows protocol switch from OIDC to SAML <code>oidc</code>
- Missing input length validation on username field causes outsized log generation in /login-actions/authenticate <code>authentication</code>
- Upgrade to 26.7.0 crashes under several tested scenarios. LazyInitializationException on non-deterministic getRealmsStream() order after DB dump/restore. <code>infinispan</code>
- PAR request URI lifespan is used as a hard cap on interactive login duration <code>oidc</code>
- [quarkus-next] BouncyCastle 1.85 breaks SAML client creation when client ID exceeds 64 characters <code>dist/quarkus</code>
- New Infinispan node joining the cluster becomes a command target/coordinator before its cache components are ready - ISPN000136 failures during Keycloak rolling restarts <code>infinispan</code>
- DEBUG logging breaks persistent client session locking <code>storage</code>
- Identity Provider Mappers - organization group targets do not resolve <code>organizations</code>
- Event listeners receive the wrong event type when an EventBuilder is reused (e.g. FEDERATED_IDENTITY_LINK is logged and emailed as LOGIN) <code>core</code>
- Admin Permissions filtering is applied to organization lookups during end-user authentication <code>organizations</code>
- Format string mismatches in logging statements cause silent argument loss and potential MissingFormatArgumentException <code>core</code>
value changes (2)
- Upgrade to Quarkus 3.33.4 <code>dist/quarkus</code>
- Improve retrieval of large read-only resources via admin API <code>storage</code>
조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치와 브레이킹 체인지 같은 것들입니다.