Privacidade Por Equipe DevBras

Capa do artigo: Keycloak CVE-2026-117691: takeover via SAML Redirect

Keycloak CVE-2026-117691: takeover via SAML Redirect

CVE-2026-117691 (CVSS 9.1): SAML HTTP-Redirect no Keycloak aceita mensagem sem assinatura via percent-encoding. Atualize agora para o 26.8.2.

Em 05/11/2026 saiu o Keycloak 26.8.2 com o patch da CVE-2026-117691 (CVSS 9.1 Critical; a Red Hat classifica como Important). A falha está no binding SAML HTTP-Redirect: a verificação de assinatura só checava nomes literais (como SAMLResponse), enquanto o servidor ainda processava nomes percent-encoded (ex.: %53AMLResponse). Com isso, uma mensagem SAML sem assinatura podia ser processada — abrindo caminho para takeover da conta de usuários federados (identity broker / IdP SAML).

Abaixo: quem está afetado, como checar, como atualizar para 26.8.2, o que a RH diz sobre mitigação e o que olhar depois do patch. Relatado por Mayssen Aidoudi (Think-it GmbH), via Red Hat.

O que a CVE-2026-117691 corrige

Segundo o advisory da Red Hat e o GitHub Advisory GHSA-c85j-3hq2-q6wj, o vetor é o processamento SAML via HTTP-Redirect. A checagem de assinatura validava apenas nomes de parâmetros literais; variantes percent-encoded do mesmo nome (exemplo público: %53AMLResponse, onde %53 = S) ainda eram aceitas pelo servidor e a mensagem podia seguir sem assinatura válida.

O impacto descrito pelas fontes é o takeover de contas de usuários federados quando há identity broker / IdP SAML nesse binding. O vetor de rede no vetor CVSS da RH é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N (score 9.1).

O fix está no issue/PR #54714 e entrou no release 26.8.2.

Quem está afetado

  • Keycloak com federação SAML usando binding HTTP-Redirect.
  • Red Hat Build of Keycloak / RH-SSO no mesmo cenário (conforme advisory RH).

Se você não usa IdP SAML com HTTP-Redirect, o vetor desta CVE não se aplica — ainda assim vale conferir a versão e o inventário de brokers.

Na checagem de 05/11/2026 a CVE não aparecia no CISA KEV e não havia exploração ativa documentada nas fontes usadas aqui. Não publicamos PoC.

Como saber se você está exposto

  1. Confira a versão do Keycloak (ou do build RH).
  2. No admin, revise identity providers SAML e o binding (HTTP-Redirect vs POST).
  3. Se a versão for < 26.8.2 e ainda não houver backport da sua linha, trate como vulnerável enquanto o broker Redirect existir.
# binário / instalação local
/opt/keycloak/bin/kc.sh --version

# container
docker exec kc /opt/keycloak/bin/kc.sh --version

Como atualizar

O patch está no Keycloak 26.8.2 (release GitHub em 05/11/2026). A imagem oficial já existe:

docker pull quay.io/keycloak/keycloak:26.8.2
# atualize a tag na sua stack (Compose/Helm/Operator) e reinicie serviço/pods

Labels de backport mencionadas nas fontes: 26.6.8 e 26.4.17. Na checagem da tarde de 05/11 elas ainda não estavam publicadas (404). A página keycloak.org/downloads ainda listava 26.8.1 — use a tag 26.8.2 no Quay/GitHub Releases, não o número antigo da página de downloads.

Se não puder atualizar agora

A Red Hat declara mitigação temporária oficial não disponível / que a falha não atende os critérios deles para workaround. Não inventamos mitigação oficial.

  • Priorize o upgrade para 26.8.2 (ou o backport da sua linha quando sair).
  • Revise quais IdPs SAML usam HTTP-Redirect e o risco operacional de cada um.
  • Acompanhe o advisory RH e as releases das labels 26.6.8 / 26.4.17.

O que checar depois do patch

  • Versão efetiva em runtime = 26.8.2 (ou backport equivalente).
  • Serviço/pods reiniciados com a nova imagem/binário.
  • Eventos de broker / login federado estranhos (horário, IdP, falhas de assinatura).

FAQ curto

É o mesmo tipo de alerta do OpenSSH de hoje?

Não. O alerta de OpenSSH 10.6p2 (musl/Alpine) é outro incidente; se perdeu, veja o post OpenSSH 10.6p2: bypass de senha em Alpine/musl. Esta CVE é específica de Keycloak/SAML Redirect.

Tem exploração ativa?

Nas fontes checadas em 05/11 (incl. CISA KEV) não. Isso não reduz a urgência do patch em ambientes com broker SAML Redirect.

E o apt CVE-2026-109518?

Outro assunto (Debian/Ubuntu). Resumo em falha no apt (CVE-2026-109518).

Resumo

  • O quê: CVE-2026-117691 — SAML HTTP-Redirect no Keycloak processa nomes percent-encoded e pode aceitar mensagem sem assinatura (CVSS 9.1; RH Important).
  • Quem: Keycloak / RH Build of Keycloak / RH-SSO com IdP SAML via HTTP-Redirect.
  • O que fazer: atualizar para 26.8.2 (quay.io/keycloak/keycloak:26.8.2), reiniciar, revisar logs de broker. Sem mitigação oficial da RH; backports 26.6.8/26.4.17 ainda não publicados na checagem de 05/11.

Fontes: RH CVE-2026-117691, GHSA-c85j-3hq2-q6wj, Keycloak 26.8.2, issue #54714, NVD.

Avalie este artigo