CVE-2026-2603CVE-2026-2603是影响Keycloak的身份验证绕过漏洞，CVSS评分8.1，属于高危漏洞。该漏洞存在于Keycloak的SAML（Security Assertion Markup Language）代理登录功能中。攻击者利用此漏洞可以通过发送来自外部身份提供商（IdP）的有效SAML响应，绕过Keycloak的安全控制机制，即使目标SAML身份提供商已被管理员禁用，攻击者仍能成功完成代理登录操作，从而实现未经授权的身份认证访问。漏洞于2026年3月18日披露，发现者为Red Hat安全团队（[email protected]）。此漏洞的潜在危害包括：攻击者可以假冒合法用户身份访问受保护资源、绕过组织的身份管理策略、在身份提供商被禁用后仍能维持非法访问通道。由于Keycloak是企业级身份和访问管理（IAM）解决方案的常用组件，该漏洞可能影响大量使用SAML认证的企业环境，导致敏感数据和系统面临未授权访问风险。
该漏洞的技术原理涉及Keycloak处理SAML IdP启动（IdP-Initiated）代理登录流程中的安全验证缺陷。在正常的SAML认证流程中，当用户尝试访问依赖方（Service Provider，SP）时，会通过身份提供商进行身份验证。Keycloak作为SP时，应验证SAML响应的来源、完整性和时效性。然而，由于缺少对已禁用IdP的充分检查，攻击者可以构造特定的SAML响应来绕过安全检查。具体而言：1）攻击者拥有一个已在Keycloak中注册的外部SAML IdP账户；2）即使管理员禁用了该SAML IdP，Keycloak的SAML端点仍会处理来自该IdP的请求；3）攻击者构造包含有效签名的SAML断言，并直接发送到Keycloak的SAML代理登录端点；4）Keycloak错误地处理此请求，允许认证完成，即使IdP已被禁用。攻击成功的关键在于Keycloak未在SAML响应处理阶段重新验证IdP的当前状态（enabled/disabled），而是依赖于缓存或过期的配置状态。