Keycloakに署名確認の回避、なりすましのおそれ

やること

Keycloak は複数のシステムのログインを1か所にまとめるオープンソースのソフトです。自社のサーバーで動かしている場合は、次の順で進めてください。

• コミュニティ版は 26.8.2 に更新してください。Red Hat の製品版は 26.6.9 が最新の修正版です
• 更新の前に、公式の移行ガイドを読み、データベースと設定の控えを取ってください
• 外部の認証サービスを SAML でつないでいるサーバーを先に更新してください

Red Hat の製品版の 26.4 系には 26.4.17 が出ていますが、通知の CVE の一覧に CVE-2026-117691 はありません。26.4 系を使っている場合は、Red Hat の案内で対応を確かめてください。Red Hat は、この欠陥の緩和策として実用に足るものはないとしています。

何が危ないのか

Keycloak は11月5日に 26.8.2 を公開しました。セキュリティの修正は33項目あります。

いちばん深刻なのは CVE-2026-117691 で、CVSS は 9.1 です。SAML は、外部の認証サービスがログインの結果を署名付きのメッセージで伝える方式です。この欠陥では、署名を確かめる処理と、メッセージを読み取る処理とで、項目の名前の読み方が違っていました。パーセント記号を使った書き方にした項目は、署名の確認からは見えないのに処理には使われます。攻撃者はこの差を使い、署名のない偽のメッセージを通せます。

ログイン情報は要りません。Red Hat は、連携している利用者のアカウントが完全に乗っ取られ、任意の利用者としてログインして権限とデータにアクセスされるおそれがあると説明しています。Red Hat の深刻度の評価は Important（重要）です。

Keycloak と Red Hat の資料に悪用の記載はありません。CISA の悪用確認の一覧（KEV、11月6日版）にも載っていません。

同じ更新で直るほかの欠陥

アカウントの乗っ取りにつながるものが、ほかにも含まれています。

• CVE-2026-97175（CVSS 8.8）は、外部のアカウントを既存のアカウントへ自動で結び付ける機能の欠陥です。外部の認証サービスがメールアドレスを確認していなくても結び付けてしまいます
• CVE-2026-112208（CVSS 8.1）は、組織の機能を使うログインの欠陥で、複数の組織に属する攻撃者が狙えます
• CVE-2026-92857（CVSS 8.1）は、アプリを自動で登録する機能の欠陥で、身元の情報を偽られるおそれがあります
• CVE-2026-103112（CVSS 7.5）は、パスワードの再設定の流れとの切り替えを悪用する欠陥で、ログインできる攻撃者が狙えます

サービスを止められる欠陥もあります。CVE-2026-107123、CVE-2026-107602、CVE-2026-110931 はいずれも SAML の処理の欠陥で、ログインなしで狙えます。CVE-2026-110931 は1回の要求で Java の実行環境を止められるものです。同じ箇所の以前の修正（CVE-2026-7307）が不完全でした。

まだ修正が確認できない欠陥

Red Hat は11月7日に CVE-2026-120984 を公表しました。CVSS は 9.1 です。アプリの管理権限を持つ攻撃者が、制限を回避して JavaScript のポリシーを登録し、サーバーの上でコードを実行できるおそれがあります。26.8.2 の修正の一覧にこの番号はなく、Red Hat の記録にも修正版の記載はありません。当面はアプリの管理権限を持つ人を絞ってください。

対象

コミュニティ版は 26.8.2 より前です。公式の資料には、影響を受け始めたバージョンの記載はありません。Red Hat の製品版は上の表のとおりです。CVE-2026-117691 の記録では、Red Hat Single Sign-On 7 は影響を受けない製品に挙げられています。

中小企業が確かめること

Keycloak は委託して作った Web システムや社内ポータルの裏で動いていることがあります。画面に名前が出ないので、委託先に使っているかどうかとバージョンを聞いてください。SAML の連携や自動の結び付けを使っていなければ、欠陥の一部は当てはまりませんが、更新の対象であることは変わりません。