Mittel26 / 100Konfidenz: Mittel

CVSS9.1EPSS0.7 %Über Netz erreichbarOhne AnmeldungOhne Zutun des Nutzers

Dringend auf Keycloak-Version 26.8.2 oder höher aktualisieren und die Herstellerinformationen beachten.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 9.1+16
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-107123, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
2 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-112201, CVE-2026-96457

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-11-06 12:44 UTCMethodik

[NEU] [mittel] Keycloak: Mehrere Schwachstellen

CERT-Bund·6. November 2026, 12:44

Originalartikel lesen bei CERT-Bund

Mehrere Schwachstellen in Keycloak ermöglichen Angreifern, Sicherheitsvorkehrungen zu umgehen, Denial-of-Service-Angriffe durchzuführen und Cross-Site-Scripting-Angriffe zu initiieren. Betroffen sind Keycloak-Versionen unter 26.8.2 auf Linux- und UNIX-Plattformen, einschließlich Red Hat Enterprise Linux Keycloak. Es wird dringend empfohlen, auf Keycloak 26.8.2 oder höher zu aktualisieren und die Herstellerinformationen zu beachten.

SecBoard-Einordnung

Diese Schwachstellen können zu einer Umgehung von Sicherheitskontrollen, Dienstverweigerung und der Ausführung von clientseitigem Skriptcode führen, was die Integrität und Verfügbarkeit von Authentifizierungs- und Autorisierungsdiensten beeinträchtigt.

Realistisch schlimmster Fall: Der schlimmste Fall ist eine vollständige Umgehung der Authentifizierung, die zu unbefugtem Zugriff auf geschützte Ressourcen führt, oder ein vollständiger Ausfall des Authentifizierungsdienstes durch Denial-of-Service-Angriffe.

Empfehlung: Dringend auf Keycloak-Version 26.8.2 oder höher aktualisieren und die Herstellerinformationen beachten. Für Red Hat Enterprise Linux Keycloak sollten die entsprechenden Red Hat Errata angewendet werden.

Key Facts· 12 / 27

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-117691

CVSS: 9.1 · CRITICAL
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: secalert@redhat.com

CVE-2026-97175

CVSS: 8.8 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert@redhat.com

CVE-2026-112208

CVSS: 8.1 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: secalert@redhat.com

CVE-2026-114232

CVSS: 8.1 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: secalert@redhat.com

CVE-2026-92857

CVSS: 8.1 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: secalert@redhat.com

CVE-2026-96453

CVSS: 8.0 · HIGH
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: secalert@redhat.com

CVE-2026-107602

CVSS: 7.5 · HIGH
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert@redhat.com

CVE-2026-107123

CVSS: 7.5 · HIGH
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert@redhat.com

CVE-2026-110931

CVSS: 7.5 · HIGH
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert@redhat.com

CVE-2026-82965

CVSS: 7.5 · HIGH
EPSS: 0.6%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert@redhat.com

CVE-2026-110932

CVSS: 7.5 · HIGH
EPSS: 0.6%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert@redhat.com

CVE-2026-103112

CVSS: 7.5 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secalert@redhat.com

Betroffen

Organisationen, die Keycloak-Versionen unter 26.8.2 auf Linux- und UNIX-Plattformen, einschließlich Red Hat Enterprise Linux Keycloak, einsetzen.

Prüfen

▸Überprüfen Sie die installierte Keycloak-Version. Wenn diese unter 26.8.2 liegt, ist ein Update erforderlich.
▸Scannen Sie Ihre Keycloak-Instanzen auf Anzeichen von Cross-Site-Scripting (XSS)-Angriffen oder Denial-of-Service (DoS)-Versuchen.

▸ 1 weitere

▸Stellen Sie sicher, dass alle relevanten Red Hat Errata für Keycloak auf Red Hat Enterprise Linux-Systemen angewendet wurden.

Offene Punkte

▸ anzeigen

▸Die spezifischen CVE-IDs der Schwachstellen sind im Artikel nicht genannt.
▸Die genauen Auswirkungen der Umgehung von Sicherheitsvorkehrungen sind nicht detailliert beschrieben.
▸Es werden keine spezifischen Angriffsvektoren oder die Komplexität der Ausnutzung genannt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(3)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059.007Command and Scripting Interpreter: Command and Scripting Interpreter: JavaScriptzugeordnet

„Cross-Site-Scripting-Angriffe zu initiieren“

T1499Denial of Servicezugeordnet

„Denial-of-Service-Angriffe durchzuführen“

T1562Impair Defenseszugeordnet

„Angreifern, Sicherheitsvorkehrungen zu umgehen“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[NEU] [mittel] Keycloak: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Themen

mittel

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (12)

CVE-2026-117691CRITICAL(9.1)

EPSS 0.3%

A flaw was found in the SAML HTTP-Redirect binding implementation of Keycloak. The issue occurs because the server processes percent-encoded parameter names (like %53AMLResponse) while the signature verification logic only checks literal parameter names. An attacker can use this discrepancy to provide a crafted, unsigned SAML message that the server processes instead of a legitimately signed one, leading to full account takeover of federated users.

Details NVD

CVE-2026-97175HIGH(8.8)

EPSS 0.4%

A flaw was found in the idp-auto-link authenticator of the keycloak-services component, which handles user identity federation. The issue occurs when Keycloak automatically links an incoming identity from an external provider to an existing local account based on an email address without verifying if the provider has validated that email. This can allow an attacker to take over a victim's account by using a matching unverified email address at a brokered provider.

Details NVD

CVE-2026-112208HIGH(8.1)

EPSS 0.5%

A flaw was found in the Organization identity-first login flow of the Keycloak authentication server. Keycloak is an open-source identity and access management solution used to secure modern applications and services. The issue occurs when an attacker who belongs to multiple organizations initiates a login and then switches to a registration or password reset path. During this process, a flag indicating a successful login is not properly cleared when the user is removed from the session. An attacker can then provide a victim's username, and the system incorrectly treats the stale flag as proof of the victim's identity. This allows the attacker to bypass authentication and gain full access to the victim's account and connected applications.

Details NVD

CVE-2026-114232HIGH(8.1)

EPSS 0.4%

A flaw was found in the UserManagedPermissionService of the Keycloak authorization server. The UMA Protection API, which manages user permissions, fails to validate the resourceType field when a user creates a new policy. This allows an attacker to create a policy that applies to resources owned by other users, potentially leading to unauthorized access or modification of sensitive data across the entire realm.

Details NVD

CVE-2026-92857HIGH(8.1)

EPSS 0.4%

Keycloak provides a Dynamic Client Registration feature that allows users with specific tokens to register their own applications. A flaw in how Keycloak validates these registration requests allows an attacker to create a malicious application that forges identity information. By mapping their own user profile details to protected fields like the user ID (sub) or intended audience (aud), an attacker can generate signed security tokens that make them appear to be a different user. This could allow an attacker to impersonate other users or gain unauthorized access to services that rely on these tokens for identity verification.

Details NVD

CVE-2026-96453HIGH(8.0)

EPSS 0.2%

A flaw was found in the Keycloak Admin CLI kcadm tool, which is used by administrators to manage Keycloak servers from the command line. When a custom truststore is provided to verify the server identity, the tool incorrectly accepts any self-signed certificate as long as the hostname matches. This allows a network attacker to impersonate the Keycloak server, steal administrative credentials, and perform unauthorized management actions.

Details NVD

CVE-2026-107602HIGH(7.5)

EPSS 0.7%

A flaw was found in the SAML 1.1 XML parsing logic of Keycloak, an open-source identity and access management solution. The issue occurs when the parser encounters unexpected elements within a security token's key information section, causing the processing thread to enter an infinite loop. An unauthenticated remote attacker could exploit this by sending specially crafted requests, leading to 100% CPU usage and a total denial of service that requires a server restart to resolve.

Details NVD

CVE-2026-107123HIGH(7.5)

EPSS 0.7%

A flaw was found in the SAML XML processing component of Keycloak, an open-source identity and access management solution. The issue occurs when the server parses XML documents containing excessively long dateTime or duration values. Because these strings are not properly validated before processing, the XML parser consumes excessive CPU time. An unauthenticated remote attacker can exploit this by sending specially crafted SAML requests to the server, leading to high CPU utilization and a denial of service for all users.

Details NVD

CVE-2026-110931HIGH(7.5)

EPSS 0.7%

A flaw was found in the SAML 1.1 assertion parser of Keycloak, a tool used for identity and access management. The issue occurs when the parser handles a specific element called AuthorityBinding within an authentication statement. Due to an incomplete fix for a previous vulnerability, the parser can enter an infinite loop that consumes all available memory, causing the entire Keycloak service to crash and become unavailable to users.

Details NVD

CVE-2026-82965HIGH(7.5)

EPSS 0.6%

A flaw was found in the SAML implementation of Keycloak, an open-source identity and access management solution. The SAML Artifact Resolution and ECP SOAP endpoints do not properly limit the size or complexity of incoming XML requests. An unauthenticated remote attacker can exploit this by sending specially crafted, large XML messages that cause the server to consume excessive memory. This leads to the application running out of memory and crashing, resulting in a denial of service for all users.

Details NVD

CVE-2026-110932HIGH(7.5)

EPSS 0.6%

A flaw was found in the theme resource endpoint of Keycloak, an open-source identity and access management solution. The issue occurs because the server fails to validate theme names before using them as keys for an on-disk gzip cache. An unauthenticated attacker can exploit this by sending many requests with unique, fabricated theme names, leading to persistent disk space exhaustion that survives server restarts and causes service disruptions.

Details NVD

CVE-2026-103112HIGH(7.5)

EPSS 0.4%

A flaw was found in the authentication session handling of the keycloak-services component in Keycloak. The issue occurs because the system fails to verify if an authenticator is valid for the current authentication flow when switching between the standard authentication path and the reset credentials path. An authenticated attacker can exploit this by triggering a race condition during the credential reset process to associate their successful authentication state with another user's session. This can result in the attacker gaining full access to the victim's account and changing their password.

Details NVD