# Keycloak 26.8.0

> Security · 2026-10-01

관리 기능과 배포 동작이 확장되었고, 기본값과 저장 방식이 일부 바뀌었습니다. 여러 인증 및 관리 경로의 보안 문제가 수정되었으며, 일부 기능과 설정은 사용 중단 예정이거나 제거되었습니다. 관련 기능을 사용하는 운영자는 변경된 기본값과 보안 동작, 사용 중단 항목을 확인해야 합니다.

## 조치 필요
- **[security · medium]** IdP 매퍼 관리자 역할 상승 수정
  - `CVE-2026-12388`에 해당하는 IdP 매퍼의 관리자 역할 상승 문제가 수정되었습니다.
- **[security · medium]** 그룹 이름만으로 경로 정책을 충족하던 문제 수정
  - `CVE-2026-19608`에 해당하는 문제로, 이름만 같은 그룹이 경로별 그룹 정책을 충족하던 동작이 수정되었습니다.
- **[security · medium]** `jackson-databind` 버전 변경
  - `com.fasterxml.jackson.core:jackson-databind`가 2.22.0으로 변경되었으며, `CVE-2026-54515`와 `CVE-2026-59889`에 대응합니다.
- **[security · medium]** `netty-codec-http` 버전 변경
  - `io.netty:netty-codec-http`가 4.1.136.Final로 변경되었으며, `CVE-2026-59903`에 대응합니다.
- **[security]** `secure-client-node-hostname` 클라이언트 정책 실행기 추가
  - SSRF 방어를 위한 클라이언트 정책 실행기 `secure-client-node-hostname`이 추가되었습니다.
- **[security]** SMTP 자격 증명 치환 검증 수정
  - SMTP 마스킹 자격 증명 치환 과정에서 대상 필드가 바뀌지 않았는지 확인하지 않던 문제가 수정되었습니다.
- **[security]** 리프레시 토큰 재사용 수정
  - 같은 초에 리프레시 토큰을 교체할 때 이전 토큰을 다시 사용할 수 있던 문제가 수정되었습니다.
- **[security]** 삭제된 세션의 캐시 재생성 수정
  - 캐시 누락 때 데이터베이스에서 캐시를 무조건 다시 채워 삭제된 세션을 되살리던 문제가 수정되었습니다.
- **[security]** 사용자 부분 필터 상위 그룹 권한 적용
  - 사용자 부분 필터가 상위 그룹 소속에 따른 거부를 무시하던 문제가 수정되었습니다.
- **[security]** 클라이언트 수정 이벤트의 개인 키 속성 제거
  - 클라이언트 수정 관리자 이벤트에 개인 키 속성이 남던 문제가 수정되었습니다.
- **[security]** 등록 접근 토큰 관리자 이벤트 저장 수정
  - 등록 접근 토큰을 다시 생성할 때 실제 bearer 토큰을 관리자 이벤트에 저장하던 문제가 수정되었습니다.
- **[security]** RP 시작 로그아웃 브로커 검증 수정
  - 위조한 initiating_idp로 RP 시작 로그아웃에서 상위 브로커 로그아웃을 막을 수 있던 문제가 수정되었습니다.
- **[security]** `Class.forName()` 입력 제한
  - `ComponentResource.getSubcomponentConfig`의 쿼리 매개 변수에 제한 없이 `Class.forName()`을 적용하던 문제가 수정되었습니다.
- **[security]** 읽기 전용 클라이언트 속성 제한 수정
  - 등록 과정에서 읽기 전용 클라이언트 속성 제한을 우회할 수 있던 문제가 수정되었습니다.
- **[security]** 이벤트 완료 판정 수정
  - 소비된 이벤트와 한 번도 저장되지 않은 이벤트를 구분하지 못하던 완료 판정 문제가 수정되었습니다.
- **[security]** 대량 HQL 보안 분류 적용
  - 대량 HQL `executeUpdate`가 AsyncCommitIntegrator의 보안 분류를 우회하던 문제가 수정되었습니다.
- **[security]** 터키어 로캘 비밀번호 거부 목록 수정
  - 터키어 로캘에서 비밀번호 거부 목록을 우회할 수 있던 문제가 수정되었습니다.
- **[security]** 토큰 교환 행위자 검증 수정
  - 토큰 교환 제공자 라우팅으로 위임 토큰이 일반 교환을 거쳐 행위자 검증을 우회할 수 있던 문제가 수정되었습니다.
- **[breaking]** Brute force detection 데이터 저장 방식 변경
  - Brute force detection 데이터가 이제 기본적으로 데이터베이스에 저장됩니다.
- **[breaking]** 영속 로그인 실패 저장을 기본값으로 변경
  - 로그인 실패를 영속적으로 저장하는 방식이 기본값이 되었습니다.
- **[breaking]** `IdentityProviderModel.getOrganizationId()` 제거
  - `IdentityProviderModel`에서 `getOrganizationId()` 메서드가 제거되었습니다.

## 영향 확인
- **[security · medium]** OIDC 브로커 이메일 검증 상태 처리 수정
  - OIDC 브로커를 사용하는 경우에 적용됩니다.
  - OIDC 브로커를 사용하는 경우에 적용됩니다. `CVE-2026-14781`에 해당하는 문제로, 브로커가 `id_token`의 `email_verified` 값을 사용자 정보의 이메일에 잘못 적용해 검증되지 않은 주소를 검증된 것으로 표시하던 동작이 수정되었습니다.
- **[security · low]** 조직 identity-first 로그인 사용자 열거 수정
  - 조직 기능을 사용하는 경우에 적용됩니다.
  - 조직 기능을 사용하는 경우에 적용됩니다. `CVE-2026-4633`에 해당하는 문제로, 조직 기능을 활성화한 identity-first 로그인에서 사용자 이름을 열거할 수 있던 문제가 수정되었습니다.
- **[security]** LDAP 연결 주소 변경 시 자격 증명 전송 수정
  - LDAP를 사용하는 경우에 적용됩니다.
  - LDAP를 사용하는 경우에 적용됩니다. 연결 주소를 바꿀 때 LDAP 바인드 자격 증명이 새 서버로 전송되던 문제가 수정되었습니다.
- **[security]** 클라이언트 비밀값 노출 수정
  - Client GET endpoints를 사용하는 경우에 적용됩니다.
  - Client GET endpoints를 사용하는 경우에 적용됩니다. `view-clients` 역할 보유자에게 원문 클라이언트 비밀값이 반환되던 문제가 수정되었습니다.
- **[security]** 클라이언트 개인 키 저장 및 generate endpoints 변경
  - generate endpoints를 사용하는 경우에 적용됩니다.
  - generate endpoints를 사용하는 경우에 적용됩니다. 데이터베이스에 클라이언트 개인 키를 저장하지 않도록 바뀌었고 generate endpoints는 사용 중단 예정입니다.
- **[security]** `Client baseUrl` URI 스킴 검증
  - `Client baseUrl`을 사용하는 경우에 적용됩니다.
  - `Client baseUrl`을 사용하는 경우에 적용됩니다. 영역 가져오기와 부분 가져오기에서 URI 스킴을 검증하지 않던 문제가 수정되었습니다.
- **[security]** `allowed-protocol-mappers` 정책 적용
  - `allowed-protocol-mappers`를 사용하는 경우에 적용됩니다.
  - `allowed-protocol-mappers`를 사용하는 경우에 적용됩니다. 관리자 REST API의 프로토콜 매퍼 작업에서 해당 정책을 적용하지 않던 문제가 수정되었습니다.
- **[security]** OIDC PAR 요청 URI 영역 연결 수정
  - OIDC를 사용하는 경우에 적용됩니다.
  - OIDC를 사용하는 경우에 적용됩니다. PAR 요청 URI가 영역에 연결되지 않은 일회용 캐시에 저장되던 문제가 수정되었습니다.
- **[security]** 검증 가능한 자격 증명 삭제 소유권 검증
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. 발급된 검증 가능한 자격 증명을 삭제하는 Account API endpoint에 소유권 검증이 추가되었습니다.
- **[security]** Parameterized Scopes 사용자 이름 열거 수정
  - Parameterized Scopes를 구성한 경우에 적용됩니다.
  - Parameterized Scopes를 구성한 경우에 적용됩니다. 사전 인증 단계에서 사용자 이름을 열거할 수 있던 문제가 수정되었습니다.
- **[security]** Parameterized Scopes 접두사 범위 선택 수정
  - Parameterized Scopes를 구성한 경우에 적용됩니다.
  - Parameterized Scopes를 구성한 경우에 적용됩니다. 먼저 일치하는 접두사가 더 허용적인 범위로 엄격한 범위를 가리던 문제가 수정되었습니다.
- **[security]** `CustomRegexScopeType` 입력 길이 제한
  - Parameterized Scopes를 구성한 경우에 적용됩니다.
  - Parameterized Scopes를 구성한 경우에 적용됩니다. `CustomRegexScopeType`에 입력 길이 제한이 없던 문제가 수정되었습니다.
- **[security]** SCIM 그룹 관리자 확인 수정
  - SCIM Groups endpoint를 사용하는 경우에 적용됩니다.
  - SCIM Groups endpoint를 사용하는 경우에 적용됩니다. 구성원 작업에서 `isAdminUser` 확인을 적용하지 않던 문제가 수정되었습니다.
- **[security]** SCIM PATCH 작업 수 제한
  - SCIM을 사용하고 `maxOperations`를 구성한 경우에 적용됩니다.
  - SCIM을 사용하고 `maxOperations`를 구성한 경우에 적용됩니다. PATCH 작업 목록에 `maxOperations` 크기 제한을 적용합니다.
- **[security]** Client API v2 클라이언트 생성 권한 수정
  - Client API v2를 사용하는 경우에 적용됩니다.
  - Client API v2를 사용하는 경우에 적용됩니다. `addClient()` 임시 클라이언트 생성이 영역 수준 권한을 우회하던 문제가 수정되었습니다.
- **[security]** `key_attestations_required` 적용 수정
  - OID4VCI를 사용하고 `key_attestations_required`를 구성한 경우에 적용됩니다.
  - OID4VCI를 사용하고 `key_attestations_required`를 구성한 경우에 적용됩니다. 증명 JWT에 키 증명 헤더가 없을 때도 `key_attestations_required`를 적용하지 않던 문제가 수정되었습니다.
- **[security]** OID4VCI 키 증명 체인 검증 수정
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. 키 증명의 x5c 체인을 시스템 인증 기관 목록에만 의존해 검증하던 동작이 수정되었습니다.
- **[security]** `/create-credential-offer` 만료 시간 제한
  - `/create-credential-offer`를 사용하는 경우에 적용됩니다.
  - `/create-credential-offer`를 사용하는 경우에 적용됩니다. `expire` 매개 변수에 제한이 없어 사전 인증 코드가 무기한 유지될 수 있던 문제가 수정되었습니다.
- **[security]** LD-VC 원격 `@context` 접근 제한
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. LD-VC 서명자가 허용 목록이나 캐시 없이 원격 `@context` URL을 HTTP로 가져오던 동작이 수정되었습니다.
- **[security]** OID4VCI did 속성 고유성 검증
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. 사용자가 수정할 수 있는 did 속성을 자격 증명 주체로 사용하던 방식에 영역 내부 고유성만 적용되던 문제가 수정되었습니다.
- **[security]** OID4VCI 자격 증명 요청 암호화 방식 제한
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. 자격 증명 요청 복호화에서 RSA-OAEP-256 암호화 키에 RSA1_5를 허용하던 문제가 수정되었습니다.
- **[security]** SCIM 사용자 필터 그룹 소속 노출 수정
  - SCIM Users filters를 사용하는 경우에 적용됩니다.
  - SCIM Users filters를 사용하는 경우에 적용됩니다. FGAP에서 숨긴 그룹 소속이 필터를 통해 노출되던 문제가 수정되었습니다.
- **[security]** SCIM 그룹 필터 사용자 소속 노출 수정
  - SCIM Groups filters를 사용하는 경우에 적용됩니다.
  - SCIM Groups filters를 사용하는 경우에 적용됩니다. FGAP에서 숨긴 사용자 소속이 필터를 통해 노출되던 문제가 수정되었습니다.
- **[security]** SCIM 사용자 프로필 보기 권한 적용
  - SCIM을 사용하는 경우에 적용됩니다.
  - SCIM을 사용하는 경우에 적용됩니다. 매핑된 속성의 읽기와 필터가 사용자 프로필 보기 권한을 우회하던 문제가 수정되었습니다.
- **[security]** SD-JWT 서명 알고리즘 검증
  - SD-JWT를 사용하는 경우에 적용됩니다.
  - SD-JWT를 사용하는 경우에 적용됩니다. JWS 헤더와 알고리즘이 다른 서명도 검증을 통과하던 문제가 수정되었습니다.
- **[security]** Server info 데이터베이스 정보 노출 수정
  - Server info를 사용하는 경우에 적용됩니다.
  - Server info를 사용하는 경우에 적용됩니다. 영역 보기 관리자에게 데이터베이스 운영 정보가 노출되던 문제가 수정되었습니다.
- **[security]** SAML `LogoutResponse` 서명 검증 추가
  - `LogoutResponse`를 사용하는 경우에 적용됩니다.
  - `LogoutResponse`를 사용하는 경우에 적용됩니다. 인바운드 `LogoutResponse` 메시지의 서명 검증이 추가되었습니다.
- **[security]** OIDC 동적 클라이언트 등록 PUT 오류 수정
  - OIDC Dynamic Client Registration PUT을 사용하는 경우에 적용됩니다.
  - OIDC Dynamic Client Registration PUT을 사용하는 경우에 적용됩니다. `scope` 필드로 인증 없이 HTTP 500 오류를 일으킬 수 있던 문제가 수정되었습니다.
- **[security]** 루트 경로 리다이렉트 보안 헤더 추가
  - `http-relative-path`를 구성한 경우에 적용됩니다.
  - `http-relative-path`를 구성한 경우에 적용됩니다. 루트 경로 리다이렉트에 보안 헤더가 빠지던 문제가 수정되었습니다.
- **[security]** OID4VCI RSA1_5 패딩 오라클 수정
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. 자격 증명 요청에서 인증 없이 RSA1_5 패딩 오라클을 사용할 수 있던 문제가 수정되었습니다.
- **[security]** OID4VC 자격 증명 삭제 범위 제한
  - OID4VC를 사용하는 경우에 적용됩니다.
  - OID4VC를 사용하는 경우에 적용됩니다. 발급된 자격 증명 삭제 범위가 경로의 사용자나 영역으로 제한되지 않던 문제가 수정되었습니다.
- **[security]** WebAuthn 중복 자격 증명 저장 수정
  - WebAuthn을 사용하는 경우에 적용됩니다.
  - WebAuthn을 사용하는 경우에 적용됩니다. 하나의 등록 절차를 동시에 완료할 때 비밀번호 없는 자격 증명이 여러 개 저장되던 문제가 수정되었습니다.
- **[security]** LDAP 비밀번호 정책 응답 처리 수정
  - LDAP를 사용하는 경우에 적용됩니다.
  - LDAP를 사용하는 경우에 적용됩니다. 비밀번호 정책 응답 제어 구문 분석에서 경고와 오류 태그가 충돌하고, 잘못된 숫자 형식으로 로그인 실패가 처리되지 않던 문제가 수정되었습니다.
- **[security]** SCIM 구성원 변경 감사 기록 수정
  - SCIM을 사용하는 경우에 적용됩니다.
  - SCIM을 사용하는 경우에 적용됩니다. 구성원 PATCH 이벤트에 변경된 관계가 감사 추적에 빠지던 문제가 수정되었습니다.
- **[security]** SCIM 기존 조회 역할 소속 추론 수정
  - SCIM을 사용하고 FGAP를 활성화하지 않은 경우에 적용됩니다.
  - SCIM을 사용하고 FGAP를 활성화하지 않은 경우에 적용됩니다. 기존 조회 역할이 리소스 간 소속을 잘못 추론하던 문제가 수정되었습니다.
- **[security]** SCIM 그룹 삭제 보호 적용
  - SCIM Group DELETE를 사용하는 경우에 적용됩니다.
  - SCIM Group DELETE를 사용하는 경우에 적용됩니다. 연쇄 삭제로 관리 리소스 보호를 우회할 수 있던 문제가 수정되었습니다.
- **[security]** SCIM 사용자 삭제 보안 상태 정리
  - SCIM을 사용하는 경우에 적용됩니다.
  - SCIM을 사용하는 경우에 적용됩니다. 사용자 삭제 때 보안 상태 정리가 누락되던 문제가 수정되었습니다.
- **[security]** Brute-force 초기화 경계 기록 수정
  - brute-force detection을 사용하는 경우에 적용됩니다.
  - brute-force detection을 사용하는 경우에 적용됩니다. 초기화 경계에서 동시에 실패하면 새로 기록된 시도가 지워질 수 있던 문제가 수정되었습니다.
- **[security]** `LoginFailureEntity` 실패 카운터 보존
  - `LoginFailureEntity`를 사용하는 경우에 적용됩니다.
  - `LoginFailureEntity`를 사용하는 경우에 적용됩니다. 장애 전환 뒤 비동기 커밋 분류가 실패 횟수 카운터를 버릴 수 있던 문제가 수정되었습니다.
- **[security]** Multi-Cluster v2 데이터 손실 방지 설정 수정
  - Multi-Cluster v2를 활성화한 경우에 적용됩니다.
  - Multi-Cluster v2를 활성화한 경우에 적용됩니다. 임시 데이터의 기본 비동기 커밋이 RPO의 No data loss 설정과 충돌하던 문제가 수정되었습니다.
- **[security]** 자격 증명 제공 역할 이름 공간 검증
  - credential offers를 사용하는 경우에 적용됩니다.
  - credential offers를 사용하는 경우에 적용됩니다. 같은 이름의 클라이언트 역할이 역할 이름 공간 혼동으로 다른 사용자 대상의 자격 증명 제공을 승인하던 문제가 수정되었습니다.
- **[security]** OID4VCI 리프레시 토큰 재사용 수정
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. 교체된 OID4VCI 리프레시 토큰을 반복 사용해 자격 증명 권한을 다시 발급받을 수 있던 문제가 수정되었습니다.
- **[security]** SD-JWT 자격 증명 수명 제한
  - SD-JWT를 사용하는 경우에 적용됩니다.
  - SD-JWT를 사용하는 경우에 적용됩니다. 사용자가 수정할 수 있는 매핑 속성으로 발급자가 설정한 수명을 늘릴 수 있던 문제가 수정되었습니다.
- **[security]** OID4VCI 승인 속성 시점 적용
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. 자격 증명 발급이 관리자가 승인한 속성 시점을 무시하던 문제가 수정되었습니다.
- **[security]** OID4VCI 요청 인증 순서 수정
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. bearer 인증 전에 인증되지 않은 자격 증명 요청이 개인 키 JWE 복호화를 실행하던 문제가 수정되었습니다.
- **[security]** OID4VCI 특정 제공 권한 검증
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. 탈취한 특정 제공을 갱신해 다른 사용자가 제공 필수 발급을 우회할 수 있던 문제가 수정되었습니다.
- **[security]** OID4VCI SD-JWT 배열 클레임 공개 수정
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. SD-JWT 발급에서 배열 클레임을 전부 공개하거나 전부 숨기도록 처리하던 문제가 수정되었습니다.
- **[security]** `kcadm` 설정 파일 권한 수정
  - `kcadm`을 사용하는 경우에 적용됩니다.
  - `kcadm`을 사용하는 경우에 적용됩니다. 기존 설정 파일의 모든 사용자 읽기 권한을 그대로 유지하던 문제가 수정되었습니다.
- **[security]** SCIM 검색 필터 로그 노출 수정
  - SCIM을 사용하는 경우에 적용됩니다.
  - SCIM을 사용하는 경우에 적용됩니다. 검색 필터 원문이 디버그 로그에 기록되던 문제가 수정되었습니다.
- **[security]** 복구 사이트 보안 설정 갱신 수정
  - 사이트를 사용하는 경우에 적용됩니다.
  - 사이트를 사용하는 경우에 적용됩니다. 복구된 사이트가 최대 한 시간 동안 오래된 보안 설정을 적용할 수 있던 문제가 수정되었습니다.
- **[security]** OID4VCI 접근 토큰 사용 범위 제한
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. OID4VCI 접근 토큰을 자격 증명 endpoint에서만 사용할 수 있도록 수정되었습니다.
- **[security]** OID4VCI 메모리 사용 및 압축 해제 제한
  - OID4VCI를 사용하는 경우에 적용됩니다.
  - OID4VCI를 사용하는 경우에 적용됩니다. 메모리 누수를 막고 압축 해제 크기 제한을 추가했습니다.
- **[security]** 조직 IdP 연결 정책 가져오기 수정
  - 조직 기능을 사용하는 경우에 적용됩니다.
  - 조직 기능을 사용하는 경우에 적용됩니다. 영역 가져오기가 조직과 IdP 연결 정책을 허용적인 기본값으로 되돌리던 문제가 수정되었습니다.
- **[security]** 조직 IdP 연결 범위 검증
  - 조직 기능을 사용하는 경우에 적용됩니다.
  - 조직 기능을 사용하는 경우에 적용됩니다. IdP 조회에서 호출자 범위를 벗어난 조직 연결이 노출되던 문제가 수정되었습니다.
- **[security]** 클라이언트 범위 endpoint 권한 수정
  - client-scoped endpoints를 사용하는 경우에 적용됩니다.
  - client-scoped endpoints를 사용하는 경우에 적용됩니다. `view-clients`가 `view-users` 제한을 우회하던 문제가 수정되었습니다.
- **[security]** Admin v2 API 비밀값 교체 정책 적용
  - Admin v2 API를 사용하는 경우에 적용됩니다.
  - Admin v2 API를 사용하는 경우에 적용됩니다. PATCH가 클라이언트 비밀값 교체 정책을 우회하던 문제가 수정되었습니다.
- **[security]** OIDC 로그아웃 로그 삽입 수정
  - OIDC 로그아웃 endpoint를 사용하는 경우에 적용됩니다.
  - OIDC 로그아웃 endpoint를 사용하는 경우에 적용됩니다. 정제되지 않은 `client_id`로 로그를 삽입할 수 있던 문제가 수정되었습니다.
- **[security]** SCIM 리소스 ID 피싱 수정
  - SCIM을 사용하는 경우에 적용됩니다.
  - SCIM을 사용하는 경우에 적용됩니다. SCIM 리소스 ID 피싱 문제가 수정되었습니다.
- **[security]** Admin API v2 클라이언트 비밀값 노출 수정
  - `admin/api`를 사용하는 경우에 적용됩니다.
  - `admin/api`를 사용하는 경우에 적용됩니다. `view-clients` 역할 보유자에게 평문 클라이언트 비밀값을 반환하던 문제가 수정되었습니다.
- **[breaking]** SCIM 사용자 이름 편집 설정 적용
  - SCIM을 사용하는 경우에 적용됩니다.
  - SCIM을 사용하는 경우에 적용됩니다. 사용자 이름 편집 설정을 끈 상태에서도 SCIM API로 사용자 이름을 바꿀 수 있던 문제가 수정되었습니다.
- **[security]** 조직 매퍼 소속 검증
  - identity brokering을 사용하는 경우에 적용됩니다.
  - identity brokering을 사용하는 경우에 적용됩니다. 단일 값 조직 매퍼가 공격자가 선택한 비회원 조직을 내보낼 수 있던 문제가 수정되었습니다.
- **[security]** 조직 그룹 역할 메타데이터 노출 수정
  - 조직 기능을 사용하는 경우에 적용됩니다.
  - 조직 기능을 사용하는 경우에 적용됩니다. 조직 그룹 표현이 권한 없는 관리자에게 클라이언트 및 영역 역할 메타데이터를 노출하던 문제가 수정되었습니다.
- **[breaking]** Keycloak Realm Operator 제거
  - Keycloak Realm Operator를 사용하는 경우에 적용됩니다.
  - Keycloak Realm Operator를 사용하는 경우에 적용됩니다. Keycloak Realm Operator가 수명 종료되어 제거되었습니다.
- **[breaking]** OIDC Device flow 범위 검증
  - OIDC를 사용하는 경우에 적용됩니다.
  - OIDC를 사용하는 경우에 적용됩니다. Device flow의 `scope` 매개 변수에 클라이언트가 허용하지 않은 범위가 있어도 오류를 내지 않던 문제가 수정되었습니다.

## 미리 준비
- **[deprecated]** Multi-cluster v1 사용 중단 예정
  - `multi-site`를 활성화한 경우에 적용됩니다.
  - 제거 시점 미정
  - `multi-site`를 활성화한 경우에 적용됩니다.
- **[deprecated]** `login-failures:v1` 인메모리 방식 사용 중단
  - `login-failures:v1`을 사용하는 경우에 적용됩니다.
  - `login-failures:v1`을 사용하는 경우에 적용됩니다. 이전 인메모리 방식은 `login-failures:v1`로 남아 있지만 사용 중단 예정입니다.
- **[deprecated]** Kerberos Credential delegation 사용 중단
  - Kerberos를 사용하는 경우에 적용됩니다.
  - Kerberos를 사용하는 경우에 적용됩니다. Kerberos Credential delegation이 사용 중단 예정으로 지정되었습니다.
- **[deprecated]** 기존 OIDC 클라이언트 스위치 사용 중단
  - `OpenID Connect Compatibility Modes`를 구성한 경우에 적용됩니다.
  - `OpenID Connect Compatibility Modes`를 구성한 경우에 적용됩니다. 해당 설정의 기존 OIDC 클라이언트 스위치가 사용 중단 예정으로 지정되었습니다.
- **[deprecated]** 휘발성 세션 사용 중단
  - 휘발성 세션을 구성한 경우에 적용됩니다.
  - 휘발성 세션을 구성한 경우에 적용됩니다. 휘발성 세션이 사용 중단 예정으로 지정되었고 세션 캐시를 사용하지 않도록 선택할 수 있게 되었습니다.
- **[deprecated]** `Full scope allowed` 사용 중단
  - `Full scope allowed`를 구성한 경우에 적용됩니다.
  - `Full scope allowed`를 구성한 경우에 적용됩니다. 해당 클라이언트 스위치가 사용 중단 예정으로 지정되었습니다.
- **[deprecated]** 비 OIDC 클라이언트 등록 제공자 사용 중단
  - 클라이언트 등록 제공자를 사용하는 경우에 적용됩니다.
  - 클라이언트 등록 제공자를 사용하는 경우에 적용됩니다. OIDC 이외의 클라이언트 등록 제공자가 사용 중단 예정으로 지정되었습니다.
- **[deprecated]** `AUTH_SESSION_ID` 쿠키 경로 사용 중단
  - `AUTH_SESSION_ID` 쿠키를 구성한 경우에 적용됩니다.
  - `AUTH_SESSION_ID` 쿠키를 구성한 경우에 적용됩니다. 고정 세션을 위한 쿠키 경로 기능이 사용 중단 예정으로 지정되었습니다.
- **[deprecated]** clusterless 기능 사용 중단
  - `clusterless`를 활성화한 경우에 적용됩니다.
  - `clusterless`를 활성화한 경우에 적용됩니다. clusterless 기능이 사용 중단 예정으로 지정되었습니다.
- **[deprecated]** 인메모리 로그인 실패 사용 중단
  - 인메모리 로그인 실패를 활성화한 경우에 적용됩니다.
  - 인메모리 로그인 실패를 활성화한 경우에 적용됩니다. 인메모리 로그인 실패 기능이 사용 중단 예정으로 지정되었습니다.

## 그 밖에 기록된 변경
- 258 (defect_corrected 158, value_changed 50, added 37, constraint_changed 9, default_changed 3, renamed 1)

[분석 자세히 보기](https://ratatosk.io/ko/releases/keycloak/26.8.0)

[원본 릴리스 노트](https://github.com/keycloak/keycloak/releases/tag/26.8.0)