CNCF graduated·incubating 프로젝트 릴리스 노트의 AI 분석.
Keycloak 26.6.1은 core 영역의 보안 문제를 수정한 릴리스입니다. core 기능을 사용하는 Keycloak 배포 환경과 관련된 변경입니다.
조치 필요 (2)
securitymediumCVE-2026-4366 HTTP 리디렉션 처리의 SSRF 수정
HTTP 리디렉션 처리 과정에서 발생하던 Blind Server-Side Request Forgery (SSRF) 문제를 수정했습니다. 변경 범위는 core입니다.
securitylowCVE-2026-4633 identity-first 로그인 사용자 열거 수정
identity-first 로그인에서 발생하던 사용자 열거 문제를 수정했습니다. 변경 범위는 core입니다.
운영자용 기능과 유지보수 변경이 함께 포함된 릴리스로, 기능과 설정 및 배포 선택지가 늘고 성능 개선과 여러 오류 수정이 반영됐습니다. 일부 기본값이 바뀌고 Token Exchange v1이 사용 중단 대상으로 지정됐습니다. 권한 우회, 아이디와 URL 처리, SCIM 접근 제어, 안티 피싱 검사, UMA 토큰 검증과 관련된 보안 및 정확성 문제도 수정됐습니다.
조치 필요 (6)
security비밀번호와 OTP 무차별 대입 방어 분리
비밀번호와 OTP의 무차별 대입 방어가 분리되어 OTP 우회 공격을 기본적으로 막습니다.
securityResourceAdminManager의 URL 생성 검증 보완
ResourceAdminManager에서 매트릭스 매개변수 주입으로 검증되지 않은 URL을 생성할 수 있던 문제가 수정됩니다.
security클라이언트 조회 안티 피싱 검사 보완
클라이언트 조회 시 안티 피싱 검사가 빠져 있던 문제가 수정됩니다.
breaking무중단 패치 릴리스 기본 활성화
무중단 패치 릴리스가 지원 대상으로 승격되고 기본값으로 활성화됩니다.
breaking--truststore-kubernetes-enabled 기본 활성화
--truststore-kubernetes-enabled 동작이 기본값으로 활성화됩니다.
breakingnot-before 검증 기본값 변경
not-before 검증의 기본값이 0초에서 10초로 변경됩니다.
영향 확인 (7)
securityWorkflows의 관리자 권한 경계 우회 수정
Workflows를 사용한다면 적용됩니다.
Workflows 실행 과정에서 manage-realm 권한 경계를 넘어 realm-admin 권한을 행사할 수 있던 문제가 수정됩니다.
security조직 미확인 로그인에서 IdP 별칭 노출 수정
Organizations를 사용한다면 적용됩니다.
조직을 확인하지 못한 Organizations 로그인에서 IdP 별칭이 노출되던 문제가 수정됩니다.
securitySCIM PUT 리소스 아이디 덮어쓰기 수정
SCIM을 사용한다면 적용됩니다.
SCIM PUT 엔드포인트가 요청 본문의 아이디 덮어쓰기를 통해 리소스를 수정할 수 있던 IDOR 문제가 수정됩니다.
미리 준비 (1)
deprecatedToken Exchange v1 사용 중단 예고
Token Exchange v1을 사용한다면 적용됩니다.
Token Exchange v1이 더 이상 권장되지 않는 기능으로 지정됩니다.
공개된 보안 취약점을 수정하고 Quarkus 의존성을 3.27.3으로 업그레이드했습니다. Host 헤더가 없는 요청에서 처리되지 않은 오류가 발생하던 버그도 바로잡았습니다.
조치 필요 (1)
securitymedium정적 파일 접근 차단 문제 수정
CVE-2026-1002에 따라 io.의 정적 핸들러 구성 요소 캐시를 조작해 정적 파일 접근을 막을 수 있던 문제를 수정했습니다.
영향 확인 (6)
securityhighScope Processing 서비스 거부 문제 수정
Scope Processing을 사용하는 경우 적용됩니다.
CVE-2026-4634에 따라 Scope Processing으로 애플리케이션 수준 서비스 거부가 발생할 수 있던 문제를 수정했습니다.
securityhighUMA 정책 리소스 주입 문제 수정
UMA를 사용하는 경우 적용됩니다.
CVE-2026-4636에 따라 UMA 정책 리소스 주입으로 다른 사용자에게 권한이 부여될 수 있던 문제를 수정했습니다.
securityhighOIDC 리디렉션 URI 검증 우회 수정
OIDC를 사용하는 경우 적용됩니다.
CVE-2026-3872에 따라 OIDC 인증 엔드포인트에서 . 경로 탐색으로 리디렉션 URI 검증을 우회할 수 있던 문제를 수정했습니다.
