# Keycloak 26.7.5

> Security · 2026-09-30

セキュリティ修正を中心としたメンテナンスリリースで、依存関係の更新と正確性・安定性の不具合修正も含まれます。管理UIでIdentity Providerを管理する場合は、レルム内のクライアントロールが必要になりました。

## 要対応
- **[security · critical]** `org.freemarker:freemarker`の依存関係を更新
  - `CVE-2026-84939`に対応して、依存関係`org.freemarker:freemarker`を更新しました。
- **[security · high]** `owasp-java-html-sanitizer`の依存関係を更新
  - `CVE-2025-66021`に対応して、依存関係`com.googlecode.owasp-java-html-sanitizer:owasp-java-html-sanitizer`を更新しました。
- **[security · high]** `org.bouncycastle:bc-fips`の依存関係を更新
  - `CVE-2026-8798`に対応して、依存関係`org.bouncycastle:bc-fips`を更新しました。
- **[security · high]** `org.bouncycastle:bc-fips`の更新で脆弱性に対応
  - `CVE-2026-13505`に対応して、依存関係`org.bouncycastle:bc-fips`を更新しました。

## 影響確認
- **[security · medium]** CIBAのブルートフォースロックアウト回避を修正
  - `oidc`を使用している場合に適用されます。
  - `CVE-2026-16103`として、トークン引き換え時に発生するKeycloak CIBAのブルートフォースロックアウト回避に対する修正が不完全だった問題を修正しました。関連する`CVE-2026-9798`にも対応しています。
- **[security · medium]** グループポリシーの子拡張による誤一致を修正
  - `authorization-services`を使用している場合に適用されます。
  - `CVE-2026-18203`に対応し、グループポリシーの子拡張が兄弟グループのパス接頭辞に一致する問題を修正しました。
- **[security · medium]** 送信元グループ条件の重複名判定を修正
  - `oidc`を使用している場合に適用されます。
  - `CVE-2026-18207`に対応し、送信元グループ条件が同名のグループに一致し、否定条件の適用を回避できる問題を修正しました。
- **[security · medium]** イントロスペクション応答のJWTクレーム漏えいを修正
  - `oidc`を使用している場合に適用されます。
  - `CVE-2026-18208`に対応し、対象外の非アクティブなイントロスペクション応答に署名済みJWTクレームが含まれる問題を修正しました。
- **[security · medium]** `secure-client-uris`の`localhost`例外を修正
  - `oidc`を使用している場合に適用されます。
  - `CVE-2026-18211`に対応し、`secure-client-uris`の`localhost`例外が、`localhost`で始まる攻撃者ドメインを受け入れる問題を修正しました。
- **[security · medium]** クライアントシークレットの開示を修正
  - `oidc`を使用している場合に適用されます。
  - `CVE-2026-89298`に対応し、Client Registration GETによって機密クライアントシークレットが`view-clients`ロールに開示される問題を修正しました。
- **[security · medium]** Device Authorization Grantのトークン発行を修正
  - `oidc`を使用している場合に適用されます。
  - `CVE-2026-88770`に対応し、Device Authorization Grantがブルートフォース攻撃によるロック状態のアカウントにもトークンを発行する問題を修正しました。関連する`CVE-2026-9798`にも対応しています。
- **[security · medium]** 無効な対象クライアントへのトークン発行を修正
  - `token-exchange`を使用している場合に適用されます。
  - `CVE-2026-93999`に対応し、無効化された対象クライアントに対しても、`token-exchange`の更新処理がトークンを発行し続ける問題を修正しました。
- **[security · low]** クライアントポリシーのホスト名ワイルドカード判定を修正
  - `oidc`を使用している場合に適用されます。
  - `CVE-2026-18206`に対応し、クライアントポリシーの送信元ホストに指定したワイルドカードドメインが、サブドメインではない接尾辞にも一致する問題を修正しました。
- **[security · low]** SAML Redirect Bindingのパラメーター汚染を修正
  - `saml`を使用している場合に適用されます。
  - `CVE-2026-18217`に対応し、SAML Redirect Bindingでパラメーターが汚染される問題を修正しました。
- **[breaking]** 管理UIでIdentity Providerを管理するための権限要件を変更
  - `admin/ui`を使用している場合に適用されます。
  - 管理UIでIdentity Providerを管理する際に、レルム内のクライアントロールが必要になりました。

## その他の記録された変更
- 13 (defect_corrected 11, value_changed 2)

[分析の詳細](https://ratatosk.io/ja/releases/keycloak/26.7.5)

[元のリリースノート](https://github.com/keycloak/keycloak/releases/tag/26.7.5)