# Keycloak 26.8.2

> Security · 2026-11-05

認証、認可、サービス拒否、データ整合性に関わる多数のセキュリティ問題を修正したメンテナンスリリースです。依存関係の更新と通常の不具合修正も含まれています。

## 要対応
- **[security · critical]** 組み込みBrotliデコーダーの範囲外書き込み修正
  - 組み込みのBrotliデコーダーで発生する範囲外書き込みを修正しました。
- **[security · high]** セッションなしトークンのプリンシパル置換修正
  - クライアント管理者がセッションのないトークンのプリンシパルを置き換え、レルムを乗っ取れる問題を修正しました。
- **[security · high]** 認証処理の競合によるアカウント乗っ取り修正
  - 認証処理の競合によってアカウントを乗っ取れる問題を修正しました。
- **[security · medium]** アカウント連携後に残るフォールバック証明の修正
  - アカウント連携の成功後やセルフサービスの連携解除後も、クロスブラウザーのフォールバック証明が残る問題を修正しました。
- **[security · medium]** ログインページの保存型XSS修正
  - `kcSanitize`の回避によってログインページに保存型XSSが成立する問題を修正しました。
- **[security]** 挿入された`id_token_hint`によるセッション乗っ取り修正
  - 攻撃者が挿入した`id_token_hint`を使い、被害者のログアウトを契機にセッションを乗っ取れる問題を修正しました。
- **[security]** グループ管理者の拒否設定回避修正
  - グループ管理者の拒否設定を、トップレベルへの移動で回避できる問題を修正しました。
- **[security]** `default-roles`へのロール追加権限修正
  - クライアント作成権限だけを持つプリンシパルが、レルムの`default-roles`にロールを追加できる問題を修正しました。

## 影響確認
- **[security · critical]** `SAML redirect binding`の署名検証回避修正
  - `SAML redirect binding`を使用している場合に該当します。
  - `SAML redirect binding`で、パーセントエンコードされたパラメーター名を使って署名検証を回避できる問題を修正しました。
- **[security · high]** 古い`SSO_AUTH`ノートによるアカウント乗っ取り修正
  - `Organization identity-first login`を使用している場合に該当します。
  - Organization identity-first loginで古い`SSO_AUTH`ノートが残り、アカウントの乗っ取りにつながる問題を修正しました。
- **[security · high]** テーマgzipキャッシュによるディスク容量消費
  - `Keycloak <= 26.8.0`に依存している場合に該当します。
  - テーマのgzipキャッシュによって、認証なしで永続的にディスク容量を消費できる問題を修正しました。
- **[security · high]** `Keycloak SAML endpoint`のサービス拒否修正
  - `SAML endpoint`を公開している場合に該当します。
  - `Keycloak SAML endpoint`で、認証なしのサービス拒否が発生する問題を修正しました。
- **[security · high]** `SAML 1.1`の`KeyInfo`パーサーループ修正
  - `SAML 1.1`を使用している場合に該当します。
  - `SAML 1.1`の`KeyInfo`パーサーが正規の`ds:KeyName`でループし、認証なしでCPUとワーカープールを使い果たす問題を修正しました。
- **[security · high]** `SAML 1.1`の`AuthorityBinding`パーサーループ修正
  - `SAML 1.1`を使用している場合に該当します。
  - `SAML 1.1`の`AuthorityBinding`パーサーのループにより、1回のリクエストで認証なしにJVMが`OutOfMemoryError`で終了する問題を修正しました。
- **[security · high]** `UMA`の`resourceType`検証
  - `UMA`を使用している場合に該当します。
  - `UMA`のユーザー管理権限にある`resourceType`フィールドを検証せず、所有者の異なるリソースへアクセスできる問題を修正しました。
- **[security · high]** `SAML adapter`の発行者検証
  - `SAML adapter`を使用している場合に該当します。
  - `SAML adapter`が、設定されていない発行者からのアサーションを受け入れる問題を修正しました。
- **[security · high]** `kcadm`カスタムトラストストアの証明書検証
  - `kcadm`を使用している場合に該当します。
  - `kcadm`のカスタムトラストストアが、任意の自己署名証明書を信頼する問題を修正しました。
- **[security · high]** `DCR`プロトコルマッパーによるID偽装修正
  - `DCR`を使用している場合に該当します。
  - 既定で許可された`DCR`プロトコルマッパーが予約済みの`sub`および`aud`クレームを書き込み、IDを偽装できる問題を修正しました。
- **[security · high]** 未検証IdPメールアドレス自動連携の修正
  - `IdP email auto-linking`を使用している場合に該当します。
  - 未検証のIdPメールアドレス自動連携によって、アカウントを乗っ取れる問題を修正しました。
- **[security · high]** `SAML SOAP endpoint`のXML解析制限
  - `SAML SOAP endpoint`を公開している場合に該当します。
  - `SAML SOAP endpoint`で、XMLを無制限に解析してサービス拒否を引き起こせる問題を修正しました。
- **[security · high]** `SAML Broker`のHolder-of-Key検証
  - `SAML Broker`を使用している場合に該当します。
  - `SAML Broker`が、鍵の所有証明なしのHolder-of-Keyアサーションを受け入れる問題を修正しました。
- **[security · high]** `jsonType=JSON`の`Protocol mapper`修正
  - `Protocol mapper`を使用し、`jsonType=JSON`を設定している場合に該当します。
  - `jsonType=JSON`を設定した`Protocol mapper`が、`CVE-2026-16102`の修正を回避できる問題を修正しました。
- **[security · medium]** `Device Authorization Grant`の`minimum.acr.value`適用
  - `Device Authorization Grant`を使用している場合に該当します。
  - `Device Authorization Grant`で、クライアントごとの`minimum.acr.value`による制限が適用されない問題を修正しました。
- **[security · medium]** `OIDC DCR`によるオフライン・トークン失効の無効化
  - `OIDC DCR`を使用している場合に該当します。
  - `OIDC DCR`の読み取り、変更、書き込み処理によって、バックチャネルログアウト時のオフライン・トークン失効が意図せず無効になる問題を修正しました。
- **[security · medium]** `CIBA`の`sub`パラメーター注入修正
  - `CIBA`を使用している場合に該当します。
  - `CIBA`の`sub`パラメーター注入によって、攻撃者の認証で被害者のトークンが発行される問題を修正しました。
- **[security · medium]** `FGAP v2`複合ロールマッピングの権限修正
  - `FGAP v2`を有効にしている場合に該当します。
  - `FGAP v2`の複合ロールマッピングで、`manage-users`権限を持つ利用者が`realm-admin`を含むラッパーを割り当てられる問題を修正しました。
- **[security]** `MySQL`および`MariaDB`の影響行数処理
  - `MySQL`または`MariaDB`に依存している場合に該当します。
  - ログイン失敗のupsert処理が、`MySQL`および`MariaDB`の影響行数をそのまま信頼する問題を修正しました。
- **[security]** `DCR`の`azp`および`sid`クレーム置換修正
  - `DCR`を使用している場合に該当します。
  - `DCR`の`azp`および`sid`クレームがUser Property mapperで置き換えられ、Account RESTの被害者セッションを乗っ取れる問題を修正しました。
- **[security]** `DCR`登録時の`realm_access.roles`偽造修正
  - `DCR`を使用している場合に該当します。
  - `DCR`の登録時に、属性マッパーがユーザー編集可能なフィールドから`realm_access.roles`を偽造できる問題を修正しました。
- **[security]** `token exchange`トークンの無制限有効期限修正
  - `token exchange`を使用している場合に該当します。
  - `token exchange`で発行したトークンの有効期限が無制限になる問題を修正しました。
- **[security]** `Stateless token`のID再割り当て修正
  - `Stateless token`を使用している場合に該当します。
  - `Stateless token`の`preferred_username`フォールバックによって、クライアント再作成後にIDを再割り当てできる問題を修正しました。
- **[security]** `SAML Identity Broker`の`ProxyRestriction`処理
  - `SAML Identity Broker`を使用している場合に該当します。
  - `SAML Identity Broker`が`ProxyRestriction`を無視し、許可されていない下流アサーションを発行できる問題を修正しました。
- **[security]** `Admin API`のaudience検証
  - `Admin API`を公開している場合に該当します。
  - `Admin API`でaudienceの検証が欠落していた問題を修正しました。
- **[security]** `SAML SLO`のIssuer偽装修正
  - `SAML SLO`を使用している場合に該当します。
  - `SAML SLO`で、署名のないクライアントが偽装したIssuerを使って被害者のSPになりすませる問題を修正しました。
- **[security]** 組織ドメインゲートのメール検証
  - `organization domain gate`を設定している場合に該当します。
  - 未検証のブローカー由来メールアドレスが、組織ドメインのゲート条件を満たしてしまう問題を修正しました。

## その他の記録された変更
- 18 (defect_corrected 17, value_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/keycloak/26.8.2)

[元のリリースノート](https://github.com/keycloak/keycloak/releases/tag/26.8.2)