Análisis sobre IAM, Keycloak, SSO y buenas prácticas de identidad.
Keycloak 26.7.4 corrige 6 CVEs: bypass de autorización en el policy enforcer (8.1), dos DoS sin autenticación (7.5), replay de DPoP y TOTP en modo stateless (7.4) e impersonación de administradores (7.2). Lista completa y prioridades de actualización.
Keycloak 26.7.1 corrige 12 CVEs, no los 5 de las notas oficiales: 7 advisories extra en GitHub incluyen dos escaladas a admin de realm vía DCR (CVSS 8.8). Lista completa y cómo actualizar.
Keycloak 26.7.0 es una release de funcionalidades: nuevas Admin API v2 e Identity Brokering API v2, SCIM en preview, la API de autorización AuthZEN, señales de seguridad en tiempo real (OpenID SSF) y step-up SAML ya soportado. Incluye además 4 CVEs corregidos.
Keycloak 26.6.4 corrige 8 CVEs: bypass de autenticación por manipulación del algoritmo de firma JWT, escalado de group-admin a realm-admin, bypass del policy enforcer y más. Otra release de seguridad tres semanas después de la 26.6.3.
Más allá de lo que Keycloak hace hoy, hay un conjunto de funcionalidades en fase preview y experimental que anticipan su evolución. Las repasamos una a una y explicamos por qué importan.
Keycloak 26.6.3 corrige 16 CVEs: escalamiento de privilegios vía token exchange, SSRF en el endpoint OIDC, reutilización de refresh tokens tras reinicio y más. Si lo ejecutas en producción, actualiza ya.
Keycloak es potente, pero operarlo mal cuesta caro. Esta guía te dice qué buscar en un partner de consultoría, qué preguntas hacerle y qué señales de alarma evitar.
Keycloak 26.6.2 corrige 16 CVEs de una vez, incluyendo session fixation en el login OIDC, bypass de validación de redirect URI y XSS almacenado. Si lo ejecutas en producción, actualiza ya.
Single realm, una por región o una por unidad de negocio. Cada modelo es una apuesta a largo plazo difícil de revertir. Esta es la comparativa que necesitas antes de elegir.
Okta compró Auth0 en 2021 y subió los precios. Muchas empresas están reevaluando su stack de identidad. Esta es la comparativa sin sesgos que necesitas para tomar la decisión correcta.
Trabajamos con Keycloak cada día. Eso no significa que sea la opción correcta para todos — pero sí significa que sabemos exactamente cuándo lo es.
Keycloak 26.6.0 lleva cinco funcionalidades de preview a estable: Workflows, JWT Authorization Grant, Zero-Downtime Patches, Federated Client Auth y un nuevo Test Framework. Esto es lo que cambia si ejecutas 26.x en producción.
Aviso de seguridad de Keycloak: ataque de phishing a través de la verificación de email en el flujo de primer login. Afecta a todas las versiones anteriores a 26.2.6, 26.1.5 y 26.0.10.
Keycloak 26.2.x con FGAPv2 habilitado está afectado por una escalada de privilegios que permite a los administradores con manage-users auto-asignarse el rol realm-admin.
