# Keycloak 26.8.2

> Security · 2026-11-05

인증, 권한 부여, 서비스 거부, 데이터 무결성과 관련된 보안 취약점을 폭넓게 수정한 유지 보수 릴리스입니다. 의존성 업데이트와 일반적인 버그 수정도 포함합니다.

## 조치 필요
- **[security · critical]** Brotli 디코더의 범위 밖 쓰기 수정
  - `CVE-2026-111497`에서 포함된 Brotli 디코더의 범위를 벗어난 쓰기 문제를 수정했습니다.
- **[security · high]** 세션 없는 토큰 주체 교체에 따른 영역 탈취 수정
  - `CVE-2026-97847`에서 클라이언트 생성 권한만 가진 주체가 세션 없는 토큰의 주체를 바꾸고 영역을 탈취할 수 있던 문제를 수정했습니다.
- **[security · high]** 인증 처리 경쟁 상태에 따른 계정 탈취 수정
  - `CVE-2026-103112`에서 인증 처리 경쟁 상태로 계정을 탈취할 수 있던 문제를 수정했습니다.
- **[security · medium]** 계정 연결 뒤 남는 브라우저 간 대체 인증 증명 수정
  - `CVE-2026-92358`에서 계정 연결 성공과 셀프서비스 연결 해제 뒤에도 브라우저 간 대체 인증 증명이 남는 문제를 수정했습니다.
- **[security · medium]** 로그인 페이지의 저장형 XSS 수정
  - `CVE-2026-107889`에서 `kcSanitize` 우회를 이용해 로그인 페이지에 저장형 XSS가 발생하던 문제를 수정했습니다.
- **[security]** 주입된 `id_token_hint`를 이용한 세션 탈취 수정
  - `CVE-2026-107124`에서 주입된 `id_token_hint`를 이용한 피해자 로그아웃으로 세션을 탈취할 수 있던 문제를 수정했습니다.
- **[security]** 그룹 관리자 `DENY` 우회 수정
  - `CVE-2026-96457`에서 최상위 이동을 이용해 그룹 관리자 `DENY` 검사를 우회할 수 있던 문제를 수정했습니다.
- **[security]** `default-roles` 역할 주입 수정
  - `CVE-2026-109081`에서 클라이언트 생성 권한만 가진 주체가 영역의 `default-roles`에 역할을 주입할 수 있던 문제를 수정했습니다.

## 영향 확인
- **[security · critical]** `SAML redirect binding` 서명 검사 우회 수정
  - `SAML redirect binding`을 사용하는 경우에 적용됩니다.
  - `CVE-2026-117691`에서 퍼센트로 인코딩된 매개변수 이름으로 `SAML redirect binding` 서명 검사를 우회할 수 있던 문제를 수정했습니다.
- **[security · high]** 조직 우선 로그인에서 오래된 `SSO_AUTH` 메모로 계정 탈취가 가능한 문제 수정
  - `Organization identity-first login`을 사용하는 경우에 적용됩니다.
  - `CVE-2026-112208`에서 조직 우선 로그인에 남은 `SSO_AUTH` 메모로 계정을 탈취할 수 있던 문제를 수정했습니다.
- **[security · high]** 테마 gzip 캐시를 이용한 영구 디스크 소진 수정
  - `Keycloak <= 26.8.0`에 의존하는 경우에 적용됩니다.
  - `CVE-2026-110932`에서 테마 gzip 캐시를 이용해 인증 없이 영구 디스크를 소진할 수 있던 문제를 수정했습니다.
- **[security · high]** `Keycloak SAML endpoint`의 인증 없는 서비스 거부 수정
  - `SAML endpoint`를 외부에 공개하는 경우에 적용됩니다.
  - `CVE-2026-107123`에서 `Keycloak SAML endpoint`를 통해 인증 없이 서비스 거부를 일으킬 수 있던 문제를 수정했습니다.
- **[security · high]** `SAML 1.1` `KeyInfo` 파서 반복에 따른 자원 소진 수정
  - `SAML 1.1`을 사용하는 경우에 적용됩니다.
  - `CVE-2026-107602`에서 적법한 `ds:KeyName`을 처리하는 `SAML 1.1` `KeyInfo` 파서 반복으로 인증 없이 CPU와 작업자 풀을 소진할 수 있던 문제를 수정했습니다.
- **[security · high]** `SAML 1.1` `AuthorityBinding` 파서 반복에 따른 JVM 종료 수정
  - `SAML 1.1`을 사용하는 경우에 적용됩니다.
  - `CVE-2026-110931`에서 `SAML 1.1` `AuthorityBinding` 파서 반복으로 한 번의 요청만으로 인증 없이 JVM을 종료시킬 수 있던 문제를 수정했습니다.
- **[security · high]** `UMA` `resourceType` 검증 누락에 따른 리소스 접근 수정
  - `UMA`를 사용하는 경우에 적용됩니다.
  - `CVE-2026-114232`에서 `UMA` 사용자 관리 권한의 `resourceType` 필드를 검증하지 않아 다른 소유자의 리소스에 접근할 수 있던 문제를 수정했습니다.
- **[security · high]** `SAML adapter`의 발급자 검증 수정
  - `SAML adapter`를 사용하는 경우에 적용됩니다.
  - `CVE-2026-93998`에서 `SAML adapter`가 설정된 발급자와 다른 발급자의 어설션을 받아들이던 문제를 수정했습니다.
- **[security · high]** `kcadm` 사용자 지정 신뢰 저장소의 인증서 신뢰 범위 수정
  - `kcadm`을 사용하는 경우에 적용됩니다.
  - `CVE-2026-96453`에서 `kcadm` 사용자 지정 신뢰 저장소가 임의의 자체 서명 인증서를 신뢰하던 문제를 수정했습니다.
- **[security · high]** `DCR` 프로토콜 매퍼의 예약 클레임 기록 수정
  - `DCR`을 사용하는 경우에 적용됩니다.
  - `CVE-2026-92857`에서 기본 허용된 `DCR` 프로토콜 매퍼가 예약된 `sub` 및 `aud` 클레임을 기록해 신원을 위조할 수 있던 문제를 수정했습니다.
- **[security · high]** 검증되지 않은 IdP 이메일 자동 연결 수정
  - `IdP email auto-linking`을 사용하는 경우에 적용됩니다.
  - `CVE-2026-97175`에서 검증되지 않은 IdP 이메일 자동 연결로 계정을 탈취할 수 있던 문제를 수정했습니다.
- **[security · high]** `SAML SOAP endpoint`의 무제한 XML 파싱 수정
  - `SAML SOAP endpoint`를 외부에 공개하는 경우에 적용됩니다.
  - `CVE-2026-82965`에서 `SAML SOAP endpoint`의 제한 없는 XML 파싱으로 서비스 거부를 일으킬 수 있던 문제를 수정했습니다.
- **[security · high]** `SAML Broker`의 Holder-of-Key 증명 검증 수정
  - `SAML Broker`를 사용하는 경우에 적용됩니다.
  - `CVE-2026-92855`에서 `Keycloak SAML Broker`가 키 보유 증명 없이 Holder-of-Key 어설션을 받아들이던 문제를 수정했습니다.
- **[security · high]** `jsonType=JSON` `Protocol mapper`의 보안 수정 우회 방지
  - `Protocol mapper`를 사용하고 `jsonType=JSON`을 설정한 경우에 적용됩니다.
  - `CVE-2026-97848`에서 `jsonType=JSON`으로 설정한 `Protocol mapper`가 `CVE-2026-16102` 수정 사항을 우회하던 문제를 수정했습니다.
- **[security · medium]** `Device Authorization Grant`의 `minimum.acr.value` 적용 우회 수정
  - `Device Authorization Grant`를 사용하는 경우에 적용됩니다.
  - `CVE-2026-105305`에서 클라이언트별 `minimum.acr.value` 적용을 우회하던 문제를 수정했습니다.
- **[security · medium]** `OIDC DCR`의 오프라인 토큰 폐기 비활성화 수정
  - `OIDC DCR`을 사용하는 경우에 적용됩니다.
  - `CVE-2026-107623`에서 `OIDC DCR`의 읽기, 수정, 쓰기 과정이 백채널 로그아웃 시 오프라인 토큰 폐기를 조용히 비활성화하던 문제를 수정했습니다.
- **[security · medium]** `CIBA` `sub` 매개변수 주입에 따른 피해자 토큰 발급 수정
  - `CIBA`를 사용하는 경우에 적용됩니다.
  - `CVE-2026-97174`에서 `CIBA`의 `sub` 매개변수 주입으로 공격자 인증이 피해자 토큰을 발급하게 만들 수 있던 문제를 수정했습니다.
- **[security · medium]** `FGAP v2` 복합 역할 매핑의 `realm-admin` 할당 수정
  - `FGAP v2`를 활성화한 경우에 적용됩니다.
  - `CVE-2026-96448`에서 `FGAP v2`의 복합 역할 매핑을 이용해 `manage-users`가 `realm-admin`을 포함한 래퍼를 할당할 수 있던 문제를 수정했습니다.
- **[security]** 로그인 실패 upsert의 영향받은 행 수 처리 수정
  - `MySQL` 또는 `MariaDB`에 의존하는 경우에 적용됩니다.
  - `CVE-2026-112201`에서 로그인 실패 upsert가 `MySQL` 및 `MariaDB`의 영향받은 행 수를 신뢰하던 문제를 수정했습니다.
- **[security]** `DCR` 클레임 대체를 통한 Account REST 세션 탈취 수정
  - `DCR`을 사용하는 경우에 적용됩니다.
  - `CVE-2026-97367`에서 사용자 속성 매퍼를 이용한 `DCR`의 `azp` 및 `sid` 클레임 대체로 Account REST 피해자 세션을 탈취할 수 있던 문제를 수정했습니다.
- **[security]** `DCR` 등록 시 `realm_access.roles` 위조 수정
  - `DCR`을 사용하는 경우에 적용됩니다.
  - `CVE-2026-96547`에서 `DCR` 등록 시 사용자 편집 가능 필드의 속성 매퍼로 `realm_access.roles`를 위조할 수 있던 문제를 수정했습니다.
- **[security]** 토큰 교환 토큰의 무제한 만료 수정
  - `token exchange`를 사용하는 경우에 적용됩니다.
  - `CVE-2026-96460`에서 토큰 교환으로 발급된 토큰의 만료 시간이 제한 없이 설정될 수 있던 문제를 수정했습니다.
- **[security]** 무상태 토큰의 `preferred_username` 대체값 처리 수정
  - `Stateless token`을 사용하는 경우에 적용됩니다.
  - `CVE-2026-96447`에서 무상태 토큰의 `preferred_username` 대체값으로 클라이언트 재생성 뒤 신원을 다시 연결할 수 있던 문제를 수정했습니다.
- **[security]** `SAML Identity Broker`의 `ProxyRestriction` 처리 수정
  - `SAML Identity Broker`를 사용하는 경우에 적용됩니다.
  - `CVE-2026-92856`에서 `Keycloak SAML Identity Broker`가 `ProxyRestriction`을 무시해 금지된 하위 어설션을 발급하던 문제를 수정했습니다.
- **[security]** Admin API의 대상 확인 누락 수정
  - `Admin API`를 외부에 공개하는 경우에 적용됩니다.
  - `CVE-2026-19688`에서 Admin API에 대상 확인이 없어 요청 대상을 검증하지 않던 문제를 수정했습니다.
- **[security]** `SAML SLO`의 위조된 발급자 처리 수정
  - `SAML SLO`를 사용하는 경우에 적용됩니다.
  - `SAML SLO`에서 서명하지 않은 클라이언트가 위조된 발급자로 피해자 서비스 제공자를 가장할 수 있던 문제를 수정했습니다.
- **[security]** 조직 도메인 제한의 브로커 이메일 검증 수정
  - `organization domain gate`를 설정한 경우에 적용됩니다.
  - 검증되지 않은 브로커 이메일이 조직 도메인 제한을 충족할 수 있던 문제를 수정했습니다.

## 그 밖에 기록된 변경
- 18 (defect_corrected 17, value_changed 1)

[분석 자세히 보기](https://ratatosk.io/ko/releases/keycloak/26.8.2)

[원본 릴리스 노트](https://github.com/keycloak/keycloak/releases/tag/26.8.2)