BSI-Warnung: Ungepatchte Keycloak-Schwachstelle

Tier B · Diese Woche patchen – Ab in den Sprint

Wer betroffen ist: Betreiber von Keycloak-Instanzen mit betroffener Version

Tier B, weil: Kerninfrastruktur oder verbreitetes Werkzeug UND aus der Ferne, ohne Login

Reichweite

Angriff

Schaden

Fix

Verbreitetes Werkzeug · Aus der Ferne, ohne Login · Noch kein Fix

Was zu tun ist

Auf den Herstellerpatch achten und Keycloak nach Veröffentlichung zeitnah aktualisieren

Kurz gesagt

Das BSI warnt in seinem WID vor einer Schwachstelle in Keycloak, die bisher ungepatcht ist.
Ein entfernter, anonymer Angreifer kann die Lücke ausnutzen, um Sicherheitsvorkehrungen zu umgehen.
Dabei können zudem Informationen offengelegt werden; das BSI stuft die Warnung als mittel ein.

Warum es wichtig ist

Betreiber von Keycloak-Instanzen, die aus dem Netz erreichbar sind, sollten ihre Systeme prüfen, da für die Schwachstelle derzeit noch kein Patch verfügbar ist.

Die Checkliste hinter dem Tier

Checkliste · 4 von 10 mit Ja

Ja	Trifft Tech-Teams	Keycloak ist ein weit genutzter Open-Source-IAM-Server, den Ops- und IT-Teams selbst betreiben.
Nein	Kerninfrastruktur	Keycloak ist ein einzelnes Produkt eines Herstellers, keine Kerninfrastruktur wie OpenSSH oder glibc.
Ja	Verbreitetes Werkzeug	Keycloak ist eine verbreitete Open-Source-Plattform für Single Sign-on und Identitätsverwaltung.
Nein	Wird ausgenutzt	BSI WID: Die Warnung nennt keine beobachteten Angriffe, nur das Potenzial dazu.
Nein	Exploit öffentlich	BSI WID: Es wird kein veröffentlichter Exploit oder Proof of Concept erwähnt.
Ja	Aus der Ferne, ohne Login	BSI WID: Ein entfernter, anonymer Angreifer kann die Schwachstelle ausnutzen.
Nein	Volle Übernahme	BSI WID: Genannt werden nur Umgehen von Sicherheitsvorkehrungen und Offenlegung von Informationen, keine Codeausführung.
Nein	Geheimnisse offengelegt	BSI WID: Es ist nur allgemein von Informationsoffenlegung die Rede, nicht von Zugangsdaten oder Kundendaten.
Nein	Lieferkette	BSI WID: Die Lücke betrifft die Software selbst, es gibt keine kompromittierte Verteilung.
Ja	Noch kein Fix	BSI WID: Die Warnung ist als [UNGEPATCHT] markiert, es gibt also noch keine korrigierte Version.

Zeitleiste

10. Nov.
BSI veröffentlicht Warnung zur ungepatchten Keycloak-Schwachstelle (WID-SEC-2026-4446)
10. Nov. · 13:12
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[NEU] [UNGEPATCHT] [mittel] Keycloak: Schwachstelle ermöglicht Umgehen von Sicherheitsvorkehrungen

Quelle

[NEU] [UNGEPATCHT] [mittel] Keycloak: Schwachstelle ermöglicht Umgehen von Sicherheitsvorkehrungen ↗ BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories) · vor 3 Std.

Zuerst gesehen vor 3 Std. · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden