Wer sein Homelab oder seine Firmen-Logins über Keycloak zentral absichert, hat in den vergangenen Tagen gleich doppelt Grund zum Nachschauen. Am 16. September erschien Version 26.7.4 mit sechs Sicherheitsfixes. Nur wenige Tage später, am 22. September, wurde eine weitere, bislang ungepatchte Lücke im Kerberos-Login bekannt. Zeit für einen geordneten Überblick.
26.7.4: SECHS LÜCKEN AUF EINMAL GESCHLOSSEN
Das reguläre Sicherheitsupdate bündelt sechs CVEs unterschiedlichen Kalibers:
- CVE-2026-17526 — die schwerwiegendste im Paket: Ein Nutzer mit der „Impersonation“-Rolle konnte sich als Realm-Administrator ausgeben — eine klassische Rechteausweitung mit weitreichenden Folgen.
- CVE-2026-19607 — eine Kontoübernahme über den Benutzernamen, die am Ende zu einer Kontosperrung des eigentlichen Besitzers führen konnte.
- CVE-2026-79651 — ein unauthentifizierter Denial-of-Service über unbegrenztes Zwischenspeichern von Sprach-Einstellungen (Locale-Caching).
- CVE-2026-74909 — eine unvollständige Vorkorrektur: Prozentkodierte Semikolons konnten weiterhin die Bereinigung von Matrix-Parametern in der Pfad-Verarbeitung umgehen.
- CVE-2026-90997 — Standard-Zeilenzähler bei MySQL/MariaDB erlaubten es, wiederverwendete Replay-Schutz-Artefakte fälschlich zu akzeptieren.
- CVE-2026-18212 — SAML-Redirect-Hilfsfunktionen mit DEFLATE-Kompression konnten internen zlib-Zustand nach außen durchsickern lassen.
Zusätzlich brachte das Release ein Upgrade auf Quarkus 3.33.3.2 sowie Fixes für Performance-Probleme, die Kompatibilität mit dem Oracle-19-Treiber und Fehler in der Admin-Konsole bei verschachtelten Untergruppen.
DIREKT DANACH: Eine neue Lücke im Kerberos-Login
Kaum war 26.7.4 verteilt, veröffentlichten Sicherheitsforscher am 22. September die Details zu CVE-2026-95503 — eine Schwachstelle, die alle Versionen bis einschließlich 26.7.4 betrifft und für die es noch keinen Fix gibt. Der Fehler sitzt in der Kerberos-Passwort-Authentifizierung ohne SPNEGO: Keycloak fordert dabei zwar ein Ticket-Granting-Ticket an, überspringt aber den entscheidenden zweiten Schritt — die Anfrage eines Service-Tickets, das sich nur mit dem geheimen Schlüssel des echten Kerberos-Servers (KDC) entschlüsseln lässt. Ohne diese Prüfung kann ein gefälschter KDC die Anmeldung erfolgreich durchwinken.
Ein Angreifer bräuchte dafür allerdings recht spezifische Voraussetzungen: Er muss sich im selben Netzwerksegment befinden und in der Lage sein, per DNS- oder ARP-Manipulation schneller zu antworten als der echte Kerberos-Server. Deshalb fällt die Bewertung mit CVSS 6,8 (mittel) auch deutlich niedriger aus als bei den sechs frisch gepatchten Lücken. Betroffen ist zudem nur, wer die Optionen allow-password-authentication oder use-kerberos-for-password-authentication aktiv nutzt — der modernere SPNEGO-Weg ist von diesem Fehler nicht betroffen.
WAS DAS FÜR DEIN HOMELAB BEDEUTET
Keycloak hat sich in den vergangenen Jahren als eine der beliebtesten Optionen für Single Sign-on im Homelab etabliert — oft als zentrale Anmeldestelle vor Dutzenden selbst gehosteten Diensten. Genau das macht jede Rechteausweitung wie CVE-2026-17526 besonders unangenehm: Ein kompromittierter Keycloak-Realm reißt im schlimmsten Fall alle dahinterliegenden Dienste mit auf.
Für die neue Kerberos-Lücke gilt: Wer Kerberos-Passwort-Login ohnehin nicht braucht — und das dürfte im typischen Homelab die Mehrheit sein — ist automatisch nicht betroffen. Wer die Funktion aktiv nutzt, etwa zur Anbindung an eine bestehende Active-Directory-Umgebung, sollte den SPNEGO-Weg bevorzugen oder die Passwort-Variante bis zu einem offiziellen Fix deaktivieren.
SO GEHST DU VOR
Der erste Schritt ist unabhängig vom Kerberos-Thema klar: Update auf 26.7.4, um die sechs bekannten CVEs zu schließen — allen voran die Impersonation-Rechteausweitung. Vor dem Upgrade lohnt ein Blick in den offiziellen Migrationsleitfaden, da unter anderem Datenbanktreiber-Kompatibilität eine Rolle spielt. Für die Kerberos-Lücke gibt es aktuell nur die Holzhammer-Lösung: Passwort-basierte Kerberos-Anmeldung abschalten oder auf SPNEGO umstellen, bis Keycloak nachbessert.
FAZIT: Solides Update, aber die Serie ist noch nicht vorbei
26.7.4 ist ein sinnvolles, überfälliges Sicherheitsupdate — insbesondere die Impersonation-Lücke sollte niemand liegen lassen. Dass direkt danach eine weitere, wenn auch enger eingegrenzte Schwachstelle auftaucht, zeigt, wie viel Angriffsfläche ein zentrales Identitätssystem zwangsläufig bietet. Wer Keycloak betreibt, sollte Sicherheitsupdates dafür genauso ernst nehmen wie für die Dienste, die es eigentlich schützen soll.