# Keycloak 26.7.5

> Security · 2026-09-30

보안 취약점 수정과 관련 의존성 변경을 중심으로 한 유지 보수 릴리스입니다. 정확성과 안정성 문제를 바로잡았으며, 관리 UI에서 ID 공급자를 관리할 때 영역의 클라이언트 역할이 필요해졌습니다.

## 조치 필요
- **[security · critical]** FreeMarker 의존성 변경
  - `org.freemarker:freemarker`와 관련된 `CVE-2026-84939`의 의존성 값을 변경했습니다.
- **[security · high]** OWASP HTML Sanitizer 의존성 변경
  - `dependencies`에서 `CVE-2025-66021`과 `com.googlecode.owasp-java-html-sanitizer:owasp-java-html-sanitizer`에 해당하는 값을 변경했습니다.
- **[security · high]** Bouncy Castle FIPS 의존성 변경
  - `dependencies`에서 `org.bouncycastle:bc-fips`와 관련된 `CVE-2026-8798`의 값을 변경했습니다.
- **[security · high]** Bouncy Castle FIPS 의존성 변경
  - `dependencies`에서 `org.bouncycastle:bc-fips`와 관련된 `CVE-2026-13505`의 값을 변경했습니다.

## 영향 확인
- **[security · medium]** 토큰 교환 시 무차별 대입 잠금 우회 수정
  - `oidc`를 사용하는 경우 적용됩니다.
  - `oidc`에서 토큰 교환 시 발생하는 `CVE-2026-16103`을 수정했습니다. `CVE-2026-9798`에 대한 불완전한 수정으로 토큰을 발급받을 때 무차별 대입 잠금 우회를 할 수 있던 문제가 바로잡혔습니다.
- **[security · medium]** 그룹 정책 하위 확장의 경로 접두사 일치 수정
  - `authorization-services`를 사용하는 경우 적용됩니다.
  - `authorization-services`의 그룹 정책 하위 확장이 형제 그룹 경로 접두사와 일치하던 문제를 수정했습니다.
- **[security · medium]** 중복 그룹 이름에 따른 소스 그룹 조건 처리 수정
  - `oidc`를 사용하는 경우 적용됩니다.
  - `oidc`의 소스 그룹 조건이 이름이 같은 그룹과 일치하고 부정 논리 적용을 건너뛸 수 있던 문제를 수정했습니다.
- **[security · medium]** 인트로스펙션 응답의 JWT 클레임 처리 수정
  - `oidc`를 사용하는 경우 적용됩니다.
  - `oidc`에서 비활성 상태인 대상 외부 인트로스펙션 응답에 서명된 JWT 클레임이 포함될 수 있던 문제를 수정했습니다.
- **[security · medium]** `localhost` 예외의 도메인 검증 수정
  - `oidc`를 사용하는 경우 적용됩니다.
  - `oidc`의 보안 클라이언트 URI에서 `localhost` 예외가 `localhost`로 시작하는 공격자 도메인을 허용하던 문제를 수정했습니다.
- **[security · medium]** 클라이언트 등록 응답의 시크릿 노출 수정
  - `oidc`를 사용하는 경우 적용됩니다.
  - `oidc`의 클라이언트 등록 GET 요청에서 `view-clients` 역할에 기밀 클라이언트 시크릿이 노출되던 `CVE-2026-89298`을 수정했습니다.
- **[security · medium]** 잠긴 계정에 대한 기기 권한 부여 토큰 발급 수정
  - `oidc`를 사용하는 경우 적용됩니다.
  - `oidc`의 기기 권한 부여에서 무차별 대입으로 잠긴 계정에 토큰을 발급하던 `CVE-2026-88770`을 수정했습니다. 이 문제는 `CVE-2026-9798`과 연관되어 있습니다.
- **[security · medium]** 비활성 대상 클라이언트의 토큰 교환 발급 수정
  - `token-exchange`를 사용하는 경우 적용됩니다.
  - `token-exchange`에서 비활성화된 대상 클라이언트에 토큰을 계속 발급하던 `CVE-2026-93999`를 수정했습니다.
- **[security · low]** 소스 호스트 와일드카드 도메인 일치 수정
  - `oidc`를 사용하는 경우 적용됩니다.
  - `oidc`의 클라이언트 정책에서 소스 호스트 와일드카드 도메인이 하위 도메인이 아닌 접미사와 일치하던 문제를 수정했습니다.
- **[security · low]** SAML 리디렉션 바인딩 매개변수 중복 수정
  - `saml`을 사용하는 경우 적용됩니다.
  - `saml`의 SAML 리디렉션 바인딩에서 매개변수 중복이 발생하던 문제를 수정했습니다.
- **[breaking]** 관리 UI의 ID 공급자 관리 권한 요구 사항 변경
  - `admin/ui`를 사용하는 경우 적용됩니다.
  - `admin/ui`에서 영역의 클라이언트 역할이 있어야 관리 UI에서 ID 공급자를 관리할 수 있도록 요구 사항을 변경했습니다.

## 그 밖에 기록된 변경
- 13 (defect_corrected 11, value_changed 2)

[분석 자세히 보기](https://ratatosk.io/ko/releases/keycloak/26.7.5)

[원본 릴리스 노트](https://github.com/keycloak/keycloak/releases/tag/26.7.5)