Keycloak 26.7.3 ist da und schließt zahlreiche Sicherheitslücken in LDAP, OpenID Connect, Token Exchange und der Admin-API. Für den Selbstbetrieb ist das kein Update zum Aufschieben: Mehrere Fehler erlauben unberechtigte Zugriffe, das Umgehen von Richtlinien oder die Offenlegung von Benutzer- und Rollendaten.
Viele Lücken in zentralen Funktionen
Die neue Version wurde am 31. August 2026 veröffentlicht. Laut dem offiziellen Keycloak-Release enthalten die Änderungen zahlreiche behobene Sicherheitsprobleme sowie weitere Fehlerkorrekturen. Betroffen sind Funktionen, die in vielen Installationen direkt am Login und an der Rechteverwaltung hängen.
Ein Beispiel betrifft die LDAP-Anbindung. In der verwendeten LDAP-Client-Implementierung wurde nicht geprüft, ob das Zertifikat des Servers tatsächlich zum erwarteten LDAP-Hostnamen passt. Dadurch konnte ein Angreifer unter bestimmten Bedingungen eine Verbindung zu einem falschen Server vortäuschen. Weitere Lücken betreffen signierte JWT-Assertions, die Authentifizierung per Authorization Code und den Austausch externer Microsoft- oder Google-Zugangstoken.
Besonders umfangreich ist der Bereich der fein granularen Admin-Berechtigungen, den Keycloak als FGAP v2 bezeichnet. Mehrere Fehler konnten versteckte Gruppen, Rollen oder personenbezogene Daten sichtbar machen. In anderen Fällen konnten delegierte Administratoren privilegierte Unterrollen löschen, unzulässige Gruppen zuweisen oder Organisationen mit Identity Brokern verknüpfen, obwohl ihnen dafür die nötigen Rechte fehlten.
Update mit Tests vorbereiten
Wenn du Keycloak selbst betreibst, solltest du 26.7.3 zeitnah einplanen. Prüfe zuerst die Migrationshinweise, sichere Datenbank und Konfiguration und teste das Upgrade mit einem realistischen Realm. Das gilt besonders dann, wenn du Organisationen, FGAP v2, Token Exchange, LDAP oder eigene Admin-Erweiterungen nutzt.
Nach dem Update solltest du nicht nur den Login testen. Prüfe auch Rollen- und Gruppenverwaltung, Einladungen zu Organisationen, externe Identity Provider, Token Exchange und die Admin-API. Bei OpenID Connect sind Redirects, Logout-URLs, Authorization Codes und Client-Policies relevant. Die Release Notes nennen unter anderem einen Fehler, bei dem Authorization Codes auf eine andere Client-Session umgeleitet werden konnten. Außerdem wurde eine unvollständige Korrektur bei manipulierten redirect_uri-Parametern nachgebessert.
Auch für den laufenden Betrieb enthält das Release wichtige Korrekturen. Nach einem Upgrade konnte die CPU-Auslastung auf allen Knoten dauerhaft steigen. Seit Version 26.7.1 wuchs außerdem der Aufwand einzelner Admin-API-Anfragen überproportional mit der Zahl der Realms. Weitere Fehler betrafen SQL-Abfragen mit zu vielen Parametern, die Auflösung von Rollen in Lightweight Access Tokens und nicht gespeicherte Änderungen an Client-Session-Notizen.
Patch Release mit Nebenwirkungen
Die Menge der Korrekturen zeigt, dass ein Patch-Release bei einer zentralen Identity-Plattform nicht automatisch risikolos ist. Keycloak 26.7.3 behebt zwar Regressionen aus 26.7.1 und 26.7.2, bringt aber gleichzeitig Änderungen in sicherheitsrelevanten Abläufen. Ein direktes Update auf allen produktiven Knoten ohne vorherige Prüfung kann deshalb neue Fehler in eigenen Integrationen sichtbar machen.
Die Quelle nennt auch Probleme in der Test- und CI-Umgebung, etwa mit FreeIPA unter Ubuntu 24.04 und Java 21. Das betrifft nicht jede Installation. Es ist aber ein Hinweis, dass du nach dem Upgrade nicht nur den Containerstart kontrollieren solltest. Entscheidend sind funktionierende Anmeldungen, korrekte Berechtigungen und unauffällige Metriken unter realer Last.
FGAP v2 kurz erklärt
FGAP v2 steht für Keycloaks fein granulierte Admin-Berechtigungen. Damit legst du fest, welche Administratoren bestimmte Benutzer, Gruppen, Rollen oder Organisationen sehen und verändern dürfen. Die aktuelle Version behebt mehrere Fehler, bei denen diese Grenzen nicht konsequent eingehalten wurden.
Quelle: Keycloak 26.7.3 released, veröffentlicht am 31. August 2026. Die vollständige Liste der behobenen Sicherheitsprobleme, Schwachstellen und Fehler steht in den offiziellen Release Notes.