何が起きたか
Keycloak の JWT Authorization Grant フローに JWT のアルゴリズム混同の脆弱性があり、有効なクライアント認証情報を持つ攻撃者が署名検証を回避できます。偽造したアサーションで不正なアクセストークンを発行させ、該当する Identity Provider に紐づく任意の連携ユーザーになりすますことができ、不正アクセスや権限昇格につながります。
やること
Keycloak（keycloak-services）を 26.6.4 以降に更新してください。
出典
Keycloak のセキュリティ勧告github.com英語 ↗GitHub Advisory Databasegithub.com英語 ↗NVD CVE-2026-11800nvd.nist.gov英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。