# Keycloak 26.8.1

> Security · 2026-10-13

보안 문제 수정과 의존성 갱신을 중심으로 인증, 관리, 아이덴티티 브로커링, 클러스터링 영역을 다룬 유지보수 릴리스입니다. 관련 기능의 접근 제어와 인증 처리에 대한 수정이 포함되어 있습니다.

## 조치 필요
- **[security · high]** `com.fasterxml.jackson.core:jackson-databind` 갱신
  - `com.fasterxml.jackson.core:jackson-databind`를 갱신했습니다.
- **[security · medium]** 관리자 자격 증명 삭제 권한 검사 수정
  - 관리자 자격 증명을 삭제할 때 거부된 비밀번호 재설정 권한을 우회하던 문제를 수정했습니다.
- **[security · medium]** 영역 간 리소스 접근 수정
  - `RealmCacheSession`의 요청별 세션 수준 캐시로 다른 영역의 영역 리소스를 읽거나 쓸 수 있던 문제를 수정했습니다.
- **[security · medium]** 사용자 갱신 시 비밀번호 재설정 권한 검사 수정
  - 일반 사용자 갱신이 거부된 비밀번호 재설정 권한을 우회하던 문제를 수정했습니다.
- **[security]** `tools.jackson.core:jackson-databind` 갱신
  - `tools.jackson.core:jackson-databind`에 포함된 여러 보안 문제에 대응하도록 의존성을 갱신했습니다.
- **[security]** `simple-git` 갱신
  - `simple-git`에 포함된 여러 보안 문제에 대응하도록 의존성을 갱신했습니다.
- **[security]** 빈 비밀번호 인증 시 사용자 이름 노출 수정
  - 빈 비밀번호를 사용한 인증 시도 시간 차이로 사용자 이름을 추측할 수 있던 문제를 수정했습니다.

## 영향 확인
- **[security · medium]** `OIDC identity provider`의 클라이언트 시크릿 재사용 수정
  - `OIDC identity provider`를 사용하고 `token URL`을 설정한 경우 적용됩니다.
  - `OIDC identity provider`에서 `token URL`을 바꾼 뒤 마스킹된 클라이언트 시크릿을 재사용하던 문제를 수정했습니다.
- **[security · medium]** 잘못된 계정 연결 지속 문제 수정
  - `null` 또는 `GitHub identity provider`를 사용하는 경우 적용됩니다.
  - `null` 또는 `GitHub identity provider`를 통한 계정 연결이 잘못된 계정으로 계속 연결될 수 있던 문제를 수정했습니다.
- **[security · medium]** 그룹 가입을 통한 `realm-admin` 권한 상승 수정
  - 적용 대상이 릴리스 노트에 명시되지 않았습니다.
  - `manage-users` 권한만 가진 위임 관리자가 관리자 역할을 매핑한 그룹에 가입하거나 해당 그룹에 생성되면 `realm-admin`이 될 수 있던 문제를 수정했습니다.
- **[security · medium]** 정책 평가 엔드포인트의 사용자 조회 권한 검사 수정
  - `Authorization Services policy evaluation endpoint`를 사용하는 경우 적용됩니다.
  - `Authorization Services policy evaluation endpoint`에서 사용자 조회 권한 검사가 빠졌던 문제를 수정했습니다. 이는 `CVE-2026-37978` 수정이 완전하지 않았던 부분도 보완합니다.
- **[security · medium]** `PAR` 단일 사용 제한 우회 수정
  - `PAR`를 사용하는 경우 적용됩니다.
  - `prompt=none`을 사용해 `PAR`의 단일 사용 제한을 우회할 수 있던 문제를 수정했습니다.
- **[security · medium]** 신뢰할 수 없는 프록시 경로의 OTP 헤더 처리 수정
  - 적용 대상이 릴리스 노트에 명시되지 않았습니다.
  - 신뢰할 수 없는 프록시 경로에서 조건부 OTP가 `skip` 헤더를 신뢰하던 문제를 수정했습니다.
- **[security · medium]** Kerberos 인증의 KDC 위조 가능성 수정
  - `Kerberos password authentication`을 설정한 경우 적용됩니다.
  - `Kerberos password authentication`을 활성화했을 때 KDC 위조 공격이 발생할 가능성이 있던 문제를 수정했습니다.
- **[security · medium]** `Admin REST API` 그룹 조회 권한 검사 수정
  - `Admin REST API`를 사용하는 경우 적용됩니다.
  - `Admin REST API`의 `roles/{role-name}/groups`가 호출자에게 조회 권한이 없는 그룹까지 공개하던 접근 제어 문제를 수정했습니다. 이는 26.7.2의 보완이 완전하지 않았던 부분입니다.
- **[security · medium]** `Standard Token Exchange`의 인증서 바인딩 우회 수정
  - `Standard Token Exchange`를 사용하고 `mTLS certificate binding`을 설정한 경우 적용됩니다.
  - 클라이언트 인증서가 없을 때 `Standard Token Exchange`가 필요한 `mTLS certificate binding`을 우회하고 활성 베어러 토큰을 발급하던 문제를 수정했습니다.
- **[security · medium]** `X.509 CRL Distribution Point` 경로 탐색 수정
  - `X.509 CRL Distribution Point`를 사용하는 경우 적용됩니다.
  - `X.509 CRL Distribution Point`에서 클라이언트가 제공한 CRL 경로가 `$KC_HOME/conf` 바깥으로 벗어날 수 있던 경로 탐색 문제를 수정했습니다.
- **[security · medium]** SMTP 연결의 평문 전환 수정
  - `SMTP starttls`를 설정한 경우 적용됩니다.
  - `SMTP starttls=true` 설정이 자격 증명과 메시지를 평문으로 낮출 수 있던 문제를 수정했습니다.
- **[security · medium]** `FGAP v2` 사용자 지정 역할 주입 우회 수정
  - `FGAP v2`와 `oidc-hardcoded-role-mapper`를 사용하는 경우 적용됩니다.
  - `oidc-hardcoded-role-mapper`를 통한 `FGAP v2` 사용자 지정 역할 주입이 `removeTransientAdminRoles`를 우회하던 문제를 수정했습니다. 이는 `CVE-2026-4629` 수정이 완전하지 않았던 부분입니다.
- **[security · low]** 서명 없는 위조 로그아웃 토큰 처리 수정
  - `signature validation`을 설정하지 않은 경우 적용됩니다.
  - `signature validation`을 사용하지 않을 때 서명되지 않은 위조 로그아웃 토큰을 허용하던 `OIDC` 브로커 백채널 로그아웃 문제를 수정했습니다.
- **[security · low]** 2단계 인증 설정 강제 우회 수정
  - `/realms/{realm}/login-actions/restart`를 사용하는 경우 적용됩니다.
  - `/realms/{realm}/login-actions/restart`를 이용해 2단계 인증 설정 강제를 우회할 수 있던 문제를 수정했습니다.
- **[security · low]** `UMA` 범위 병합 문제 수정
  - `UMA`를 사용하는 경우 적용됩니다.
  - `resolveResourcePermission`의 이름 충돌로 리소스 소유자 사이에서 `UMA` 범위가 합쳐질 수 있던 문제를 수정했습니다.
- **[security · low]** 브로커 로그인 엔드포인트의 메트릭 시계열 생성 수정
  - `broker login endpoint`를 사용하는 경우 적용됩니다.
  - `broker login endpoint`의 `idp` 태그로 메트릭 시계열이 제한 없이 생성될 수 있던 문제를 수정했습니다.
- **[security]** Kerberos 추적 로그의 SPNEGO 자격 증명 기록 수정
  - `Kerberos`를 사용하고 `TRACE logging`을 설정한 경우 적용됩니다.
  - `Kerberos`에서 `TRACE logging`을 사용할 때 완전한 SPNEGO 자격 증명이 기록되던 문제를 수정했습니다.
- **[security]** 동적 클라이언트 등록의 SSF 이벤트 권한 수정
  - `Dynamic client registration`을 사용하는 경우 적용됩니다.
  - `Dynamic client registration`이 권한 있는 SSF 이벤트 접근을 스스로 활성화할 수 있던 문제를 수정했습니다.
- **[security]** `SAML SLO` 임의 세션 종료 수정
  - `SAML SLO`를 사용하는 경우 적용됩니다.
  - `SAML SLO`의 `LogoutRequest (SessionIndex)`를 이용해 인증 없이 임의의 세션을 종료할 수 있던 문제를 수정했습니다.
- **[security]** SAML 브로커 리디렉션 서명 검증 수정
  - `SAML broker HTTP-Redirect binding`을 사용하는 경우 적용됩니다.
  - `SAML broker HTTP-Redirect binding`에서 쿼리 문자열 서명이 처리된 것과 다른 `SAMLResponse`를 대상으로 검증되던 문제를 수정했습니다. `;` 매개변수 구분자를 이용한 인증 없는 임의 사용자 로그인을 막습니다.
- **[security]** `FGAP v2`의 LDAP 사용자 검색 결과 권한 수정
  - `FGAP v2`와 `LDAP`를 사용하는 경우 적용됩니다.
  - `FGAP v2`에서 가져오지 않은 `LDAP` 사용자가 `query-users-only` 위임 관리자의 검색 결과에 반환되던 문제를 수정했습니다.

## 그 밖에 기록된 변경
- 19 (defect_corrected 19)

[분석 자세히 보기](https://ratatosk.io/ko/releases/keycloak/26.8.1)

[원본 릴리스 노트](https://github.com/keycloak/keycloak/releases/tag/26.8.1)