릴리스 — RATATOSK

Keycloak26.7.2Security2026년 8월 19일

이번 릴리스에는 공개된 보안 문제와 비밀 값 노출 문제의 수정, Quarkus 의존성 업그레이드, 여러 버그 수정이 포함됩니다. 보안 수정과 평문으로 출력되던 비밀번호 수정은 업그레이드가 필요한 변경이며, 나머지는 운영자가 참고할 내용입니다.

조치 필요 (2)

securitymediumjackson-databind 보안 수정
jackson-databind를 2.21.5로 업그레이드해 CVE-2026-59888과 CVE-2026-59889를 수정했습니다.
securitymediumOpenTelemetry Java SDK 메모리 할당 문제 수정
OpenTelemetry Java SDK의 W3C Baggage 전파에서 메모리가 제한 없이 할당되던 CVE-2026-45292를 수정했습니다.

영향 확인 (6)

securitycriticalreset-credentials flow 우회에 따른 계정 탈취 수정
reset-credentials flow를 사용하는 경우에 적용됩니다.
reset-credentials flow 우회로 인증 없이 계정을 탈취할 수 있던 CVE-2026-18963을 수정했습니다.
securityhigh예측 가능한 계정 연결 해시 문제 수정
oidc를 사용하는 경우에 적용됩니다.
악의적인 oidc 클라이언트가 예측 가능한 계정 연결 해시를 이용해 계정을 탈취할 수 있던 CVE-2026-15571을 수정했습니다.
securitymedium세밀한 관리자 권한 우회 수정
admin/fine-grained-permissions API를 사용하는 경우에 적용됩니다.
admin/fine-grained-permissions의 Role Groups 엔드포인트를 통한 세밀한 관리자 권한 우회인 CVE-2026-14613을 수정했습니다.
릴리스 페이지에 3건 더