本文使用的 Docker 镜像
发布日期： 2026 年 11 月 6 日
风险等级： 严重（Critical）起
漏洞编号： CVE-2026-117691 · CVE-2026-112208 · CVE-2026-97175 · CVE-2026-92857 · CVE-2026-96453 · CVE-2026-103112 · CVE-2026-107602 · CVE-2026-110931 · CVE-2026-92855 · CVE-2026-97847
涉及镜像： keycloak/keycloak — 轩辕镜像 · Docker Hub · Quay
CVSS： CVE-2026-117691 为 9.1（Critical）；其余本批条目为 High（约 7.1–8.8）
披露时间： Keycloak 26.8.2 于 2026 年 11 月 5 日发布；NVD 于 2026 年 11 月 5–6 日集中收录
相关公告： Keycloak 26.8.2 · NVD CVE-2026-117691
一、漏洞概述
| 编号 | 要点 | CVSS |
|---|---|---|
| CVE-2026-117691 | SAML HTTP-Redirect 绑定对百分号编码参数名（如 %53AMLResponse）与签名校验字面参数名不一致，可提交未签名 SAML 消息接管联邦用户 | 9.1 |
| CVE-2026-112208 | Organization identity-first 登录流程中 SSO_AUTH 标记未正确清除 | 8.1 |
| CVE-2026-97175 | IdP 自动链接未校验邮箱已验证 | 8.8 |
| CVE-2026-92857 | DCR 协议 mapper 可写入保留 sub / aud 声明 → 身份伪造 | 8.1 |
| CVE-2026-96453 | kcadm 自定义 truststore 信任任意自签证书 | 8.0 |
| CVE-2026-103112 | 认证 / 重置凭证路径竞态 → 会话关联他人账户 | 7.5 |
| CVE-2026-107602 | SAML 1.1 KeyInfo 解析循环 → 未认证 CPU / worker 耗尽（需重启） | 7.5 |
| CVE-2026-110931 | SAML 1.1 AuthorityBinding 解析循环 → 未认证单请求 OOM 终止 JVM | 7.5 |
| CVE-2026-92855 | SAML Broker 接受无密钥持有证明的 Holder-of-Key 断言 | 7.4 |
| CVE-2026-97847 | 硬编码 claim mapper 在无会话服务账号令牌上可替换主体 → 领域级接管 | 7.1 |
未认证或低权限即可账户接管、联邦冒充，以及未认证 DoS。同批还含其他条目（含已单独通报的 Brotli 相关修复）；升到 26.8.2 一并覆盖。
二、漏洞状态
统计截止： 2026 年 11 月 6 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（发行说明、NVD） |
| 官方补丁 | ≥ 26.8.2 |
| 镜像标签 | Hub / Quay 已有 26.8.2；今天的 latest 与 26.8.2 同 digest |
| CISA KEV | 未列入 |
三、影响范围
公网或半信任网络可达的 Keycloak 身份与访问管理面，尤其启用 SAML / IdP Broker / Organization / DCR / 服务账号相关能力的部署。官方容器镜像 keycloak/keycloak（Hub 与 Quay）及 Operator / 发行版衍生镜像均在暴露面内。
四、修复建议
升到 ≥ 26.8.2。不要把 latest 写进长期配置。
bashdocker pull docker.xuanyuan.run/keycloak/keycloak:26.8.2
Docker Hub： keycloak/keycloak
Quay： keycloak/keycloak
轩辕镜像： keycloak/keycloak
五、临时缓解措施
在升级之前：限制谁能触达 SAML / Broker / Organization 登录与 DCR；收紧未认证对认证端点的暴露；审查服务账号与协议 mapper。这不能代替 26.8.2。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Keycloak 的版本修复。今天的 latest 与 26.8.2 是同一份镜像，加速拉取 latest 以后可能不再锁定在这个版本。基于更旧标签二次构建的，要改基础标签后重新构建。
七、参考链接
- Keycloak：26.8.2 发布说明
- NVD：CVE-2026-117691
- Docker Hub：keycloak/keycloak
- Quay：keycloak/keycloak
- 轩辕站内镜像页：keycloak/keycloak
阅读原文
轩辕镜像安全团队
2026 年 11 月 6 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。