Keycloak（Red Hat Build of Keycloak）の CVE-2026-114232 ほか 12 件: 権限確認・セッション・トークン処理の欠陥でなりすましや権限の取得を許す恐れ（Red Hat 評価 CVSS v3.1 最大 8.1・ほとんどはログイン済みの権限が前提）

オープンソースの認証基盤 Keycloak（Red Hat Build of Keycloak）に、権限確認・セッション・トークンまわりの欠陥 12 件が報告されました。NVD への登録は 2026-11-05（3 件）と 11-06（9 件）で、状態はいずれも Awaiting Analysis（NVD の評価前）、登録元は Red Hat です。同じ時期に登録された Keycloak の別の欠陥（アカウント乗っ取り 7 件、認証不要のサービス停止 5 件、SAML リダイレクト署名の検証回避 1 件）は別記事で扱っています。

12 件の内容

CVE	内容	前提	点数（v3.1）
CVE-2026-93998	SAML アダプターが、署名付き表明の発行元を設定済みの IdP と照合しない。同じ署名鍵を共有する複数の IdP があると、そのうち 1 つを握る者が任意のユーザーとしてログインできる（CWE-347）	認証不要（AC:H）	7.4
CVE-2026-114232	UMA の保護 API が、ポリシー作成時の resourceType を検証せず、他のユーザーが持つ資源に効くポリシーを作れる（CWE-862）	低権限（PR:L）	8.1
CVE-2026-97174	CIBA（クライアント起点のバックチャネル認証）で sub が追加パラメーターとして保存され、トークン発行時に本来の主体を上書きする。自分で認証して他のユーザーのトークンを受け取れる（CWE-20）	低権限・AC:H	6.8
CVE-2026-107124	OIDC のログアウト用エンドポイントが、検証前のトークンヒントでセッション Cookie を設定する。被害者のブラウザーにセッション ID を固定し、その後のログインを乗っ取れる（CWE-384）	低権限・利用者の操作・AC:H	6.4
CVE-2026-97367	Account REST API のセッション識別の扱いが誤っており、クライアントの所有者が自分のトークンを細工して他のユーザーの有効なセッションを指せる。回復用メールの変更やパスワード再設定を通じ、乗っ取りに至る恐れ（CWE-287）	低権限・利用者の操作・AC:H	6.4
CVE-2026-19688	Admin REST API が bearer トークンの宛先（audience）を確かめない。レルム内のクライアントを動かす者が、管理者のトークンを入手して再利用すると管理操作ができる（CWE-287）	高権限・利用者の操作	6.8
CVE-2026-96547	動的クライアント登録で、設定できるクレーム名に制限がなく、標準的なプロファイル情報を重要なロールに対応づけたクライアントを作れる。Keycloak のトークンを信用する外部アプリで権限を得る恐れ（CWE-862）	低権限（登録用の資格情報）	6.5
CVE-2026-97848	JSON 型の構造化クレームを出すプロトコルマッパーで、不正なロールの除去処理が Jackson の JSON オブジェクトを見落とし、偽のクライアントロールをトークンに入れられる（CWE-20）	低権限	6.5
CVE-2026-109081	動的クライアント登録が、廃止予定の defaultRoles を処理するときに権限を確かめない。レルムの既定ロールに過剰なロールを入れられ、トークンが肥大化して性能とメモリが落ちる（サービス停止。CWE-862）	高権限（クライアント作成権限か初期アクセストークン）	6.8
CVE-2026-96460	Standard Token Exchange V2 が、交換後のトークンの有効期間を元のトークンの期限で制限せず、要求側クライアントの設定で新しく与える。繰り返し交換すると、元のクライアントを無効化しても、サービスアカウントのアクセスを延ばし続けられる（CWE-303）	低権限	5.4
CVE-2026-92856	SAML の仲介（ブローカー）で、上流の IdP が禁じた再共有の指示（ProxyRestrictions）を守らず、下流のサービスにログインできてしまう（CWE-862）	低権限・AC:H	4.9
CVE-2026-96447	状態を持たないアクセストークンの検証で、元のユーザー ID が存在しないとき、ユーザー名で代用する。古いトークンで、同じクライアント ID の新しいサービスアカウントにアクセスできる恐れ（CWE-287）	低権限・AC:H	4.2

（NVD に載る CVSS v3.1 は登録元 Red Hat の値です。NVD 自身の評価はまだありません。表の「前提」は CVSS のベクターを要約したものです。）

評価

• 最大は CVE-2026-114232 の 8.1 で、認証不要・点数 9 以上のものはありません。このため severity は high を案とします（確定はオーナーの判断待ち）。
• 認証不要と評価されているのは CVE-2026-93998 だけで、攻撃の難易度が高い（AC:H）うえ、複数の IdP が同じ署名鍵を共有する構成が条件です。
• 多くはログイン済みの利用者、またはクライアント・レルムの管理に近い権限が前提です。マルチテナントや、利用者がクライアントを自分で登録できる構成では、影響が大きくなる恐れがあります。
• EPSS は 12 件とも付与がまだありません（11/6 確認）。CISA KEV に掲載はありません（11/6 確認）。

影響を受ける版と修正

Red Hat の CVE ページが示す影響版・修正版は、本稿では取得できませんでした（ページが表示に JavaScript を要するため）。NVD の記述にも版の記載がありません。上流の Keycloak と Red Hat Build of Keycloak のどちらが対象か、修正版がいつ出るかは未確認です。

利用者が考えられること

1. Red Hat のセキュリティ勧告と Keycloak の更新情報を確認し、修正版が出たら適用する。
2. 利用者がクライアントを動的に登録できる設定（動的クライアント登録・初期アクセストークンの配布）を必要な範囲に絞る。
3. 複数の外部 IdP で同じ署名鍵を使っていないか確認する（CVE-2026-93998）。
4. 管理 API のトークンや、クライアントの所有権限を持つ人を最小にし、管理者トークンの有効期間を短くする。
5. 想定外のポリシー・クライアント・ロール・マッパーが作られていないか、管理イベントのログで確認する。

未確認の点

• 影響を受ける版・修正版・Red Hat と上流 Keycloak の対応の違い。
• 悪用の有無（KEV に掲載なし、公開の攻撃コードは確認していません）。
• 各欠陥の再現条件と、実際の影響の大きさ（本稿では再現していません）。
• NVD の最終評価。