Keycloak analisado · Grátis
Toda imagem do Keycloak.
Escaneada todo dia.
O Leavory escaneia todo dia cada tag da imagem oficial do Keycloak contra o CISA KEV, o catálogo das falhas que atacantes já exploram. Veja quais versões têm exploração ativa, e o Leavory com dados reais.
Achados
Quanto mais antiga a versão, mais exposta.
O Keycloak decide quem entra em tudo o que está atrás dele, então uma falha na imagem dele chega a todo sistema que confia nele. Da versão mais antiga ainda no registry até a atual, foi assim que a imagem oficial mudou.
Vulnerabilidades, 5.0.0 → 26.8.0
Críticas, 5.0.0 → 26.8.0
Exploradas ativamente (CISA KEV), 5.0.0 → 26.8.0
282 tags e 133 versões de quay.io/keycloak/keycloak,
retrato de 4 de outubro de 2026. Os números ao vivo estão no hub.
Por versão
Até a 22.0.4, toda versão carrega exploração ativa.
Execução remota de código da 5.x à 8.x, escalada de privilégio para root da 7.0.1 à 22.0.4 e HTTP/2 Rapid Reset até a 20.0.5. A partir da 26.1.2, nenhuma versão tem CVE do CISA KEV.
quay.io/keycloak/keycloak
Última release por linha · 4 out. 2026| Versão | Crítica | Alta | Exploradas (KEV) | Status |
|---|---|---|---|---|
| 5.0.0 | 96 | 589 | 5 | 5 exploradas |
| 10.0.2 | 19 | 292 | 6 | 6 exploradas |
| 15.1.1 | 22 | 274 | 4 | 4 exploradas |
| 20.0.5 | 5 | 210 | 3 | 3 exploradas |
| 22.0.5 | 8 | 115 | 1 | 1 explorada |
| 24.0.5 | 6 | 92 | 0 | Nenhuma CVE explorada |
| 26.0.8 | 7 | 88 | 0 | Sequestro de conta |
| 26.6.4 | 5 | 38 | 0 | Sequestro de conta |
| 26.8.0 | 0 | 6 | 0 | Nenhuma CVE explorada |
CVE-2026-18963: sequestro de conta sem senha
Falha crítica no código do próprio Keycloak (CVSS 9.1): o fluxo de redefinição de credencial pode ser contornado para tomar qualquer conta, até de admin. Afeta 48 versões, da 26.0.0 à 26.7.1. A primeira imagem corrigida é a 26.7.2.
O que fazer
Veja o que roda.
A versão que vale não é a da documentação nem a do repositório de configuração. É a da imagem que roda em cada ambiente.
-
Até a 22.0.4: trate como incidente
Essas versões têm falhas que atacantes já usam, como execução remota de código e escalada de privilégio para root.
-
26.0.0 a 26.7.1: atualize já
Elas carregam a CVE-2026-18963, a sequestro de conta sem autenticação.
-
Mire na 26.8.0
Ou pelo menos na 26.7.5. Saltos grandes entre versões major pedem testes de temas, extensões (SPIs) e da migração do banco.
-
Fixe o digest e reconstrua sempre
A mesma versão é republicada com o sistema base atualizado. Uma tag que nunca muda envelhece sem mudar de número.
Cheque também as imagens dos seus times. Teste o Image Scan
Perguntas
Sobre esta análise.
Por que o Keycloak?
É uma das plataformas de identidade open source mais usadas: single sign-on, OpenID Connect, OAuth 2.0, SAML e federação com LDAP e Active Directory. Como controla quem entra, imagem desatualizada não é detalhe: é a fechadura da porta da frente.
Como foi feita a análise?
Cada tag ativa da imagem oficial da comunidade foi baixada (linux/amd64), teve o SBOM gerado e escaneado com o Trivy atrás de falhas críticas, altas, médias e baixas, e a imagem foi descartada. O Leavory sincroniza o CISA KEV e reescaneia o SBOM salvo todo dia, sem baixar a imagem de novo.
Esses números são ao vivo?
Não. Esta página é o retrato de 4 de outubro de 2026; advisories novos podem mudá-lo. A análise no hub é atualizada todo dia.
Preciso de uma conta?
Sim, uma conta Leavory grátis com e-mail corporativo. A mesma conta dá acesso ao Image Scan e ao Security Gate.
Posso verificar as minhas imagens?
Sim. O Image Scan acompanha de graça até cinco imagens suas, públicas ou privadas, com um scan novo todo dia.
Veja o Leavory em ação.
Diga qual plataforma você usa, e um engenheiro (não um robô de vendas) chama você para uma demo.