Keycloak CVE-2026-112208はHigh―組織ログインに残る認証フラグでアカウント奪取
Organizationのidentity-firstログインで、ユーザー切り替え後も認証済みの状態が残る問題。26.8.2に修正が含まれます。
公式リリース・CVE公表日（UTC）：2026-11-05 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
Keycloakは2026年11月5日UTC、26.8.2を公開し、認証回避につながるCVE-2026-112208を修正項目に挙げました。Red HatによるCVSS v3.1評価は8.1、High。公式課題では26.8.1での再現が報告されており、Organizationのidentity-firstログインが確認対象です。
複数の組織に所属する攻撃者がログインを始め、登録やパスワード再設定の経路へ移ると、セッションからユーザーを外しても認証成功を示すフラグが残ります。その後に被害者のユーザー名を渡すことで、残ったフラグを被害者の認証が済んだ証拠として扱わせる問題です。
成功すると被害者アカウントや連携アプリへアクセスできます。ネットワーク越しに攻撃できる一方、攻撃者側のアカウントと複数組織への所属などが条件で、すべてのKeycloak構成に無条件で成立するものではありません。
該当フローを使う運用者は26.8.2など修正を含む系列への更新を確認してください。Red Hat Build of Keycloakも影響対象ですが、コミュニティ版の番号をそのまま商用版の修正版として扱わず、提供元の更新情報を確認します。Red Hat Single Sign-On 7はCVE登録上、影響なしです。参照した公式情報に実際の悪用確認は記載されていません。
出典と編集について
Keycloak：Keycloak 26.8.2：Security fixes ↗Red Hat：CVE-2026-112208の攻撃条件・CVSS評価 ↗
Keycloak公式課題：26.8.1での再現と修正対象 ↗
本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。