Keycloak v26.7.4: 6 CVEs — migrar a Authelia o ZITADEL

Keycloak v26.7.4 — por qué 6 CVEs en una semana cambian el panorama

Qué podría haber permitido cada CVE — resumen no técnico

• CVE-2026-79651 (CVSS 7.5 — alta): Keycloak acepta etiquetas de locale arbitrarias en los endpoints de temas sin limitarlas ni validarlas. Un atacante envía locales únicos en bucle desde la red pública; cada solicitud asigna memoria que nunca se libera. Resultado: fallo del proceso por agotamiento de memoria, sin necesidad de credencial alguna.
• CVE-2026-18212 (CVSS 7.5 — alta): los helpers SAML Redirect DEFLATE filtran el estado nativo de la biblioteca zlib. Una solicitud SAML malformada basta para desencadenar corrupción de memoria que puede llevar al fallo del servidor o a una fuga de datos de sesión.
• CVE-2026-74909 (CVSS 8.1 — alta): un punto y coma codificado en porcentaje (%3B) elude la limpieza de parámetros matrix en PathMatcher. Un atacante puede acceder a un recurso protegido por una política más estricta usando la forma menos restrictiva de la misma ruta.
• CVE-2026-90997 (CVSS 7.4 — alta): en despliegues sobre MySQL o MariaDB, el número predeterminado de filas que devuelve el motor de almacenamiento hace que las compuertas anti-replay sean ineficaces. Un artefacto de autenticación ya utilizado puede reutilizarse.
• CVE-2026-17526 (CVSS 7.2 — alta): el rol impersonation puede suplantar la identidad de un administrador de realm. Un operador con permisos limitados puede elevar sus privilegios hasta la administración completa del realm.
• CVE-2026-19607 (CVSS 5.3 — media): una colisión de nombre de usuario en el flujo de federación de identidad (broker) bloquea la cuenta del usuario legítimo. El usuario legítimo queda expulsado de su propia cuenta sin ninguna acción por su parte.

Keycloak vs Authelia vs ZITADEL — elegir según tu contexto VPS

Desplace la tabla

Authelia — SSO ligero para menos de 10 aplicaciones

Migrar de Keycloak a Authelia — exportar OIDC, configurar, testear

1. 01

   Exportar la configuración OIDC de Keycloak

   En la consola de administración de Keycloak, ve a Realm Settings → Export. Marca «Export clients» y «Export groups». Descarga el JSON resultante — contiene tus clientes OIDC con sus redirect URIs y scopes. Este archivo sirve de referencia para reconfigurar cada aplicación en Authelia; no se importa directamente.

2. 02

   Instalar Authelia con Docker Compose

   Crea un docker-compose.yml mínimo:

   services:
authelia:
image: authelia/authelia:latest
volumes:
- ./config:/config
ports:
- 9091:9091
restart: unless-stopped

   Crea el directorio config/ y coloca configuration.yml en él. La documentación oficial proporciona un esqueleto completo en https://www.authelia.com/configuration/prologue/introduction/.

3. 03

   Configurar los clientes OIDC en Authelia

   Para cada aplicación migrada desde Keycloak, añade una entrada bajo identity_providers.oidc.clients en configuration.yml:

   identity_providers:
oidc:
clients:
- id: mi-app
secret: '$pbkdf2-sha512$...'
redirect_uris:
- https://mi-app.ejemplo.com/oauth/callback
scopes: [openid, email, profile]

   Genera el secreto con authelia crypto hash generate pbkdf2 --variant sha512. Usa el JSON exportado de Keycloak para encontrar las redirect URIs de cada cliente.

4. 04

   Configurar el reverse proxy para que consulte Authelia

   Authelia funciona como middleware de validación. En nginx, añade un bloque auth_request:

   location /authelia {
internal;
proxy_pass http://authelia:9091/api/authz/forward-auth;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}

   location / {
auth_request /authelia;
proxy_pass http://mi-app:3000;
}

   Para las aplicaciones que usan OIDC de forma nativa, apunta el issuer a https://auth.tu-dominio.com.

5. 05

   Probar cada aplicación antes de desconectar Keycloak

   Para cada aplicación migrada, verifica tres flujos: inicio de sesión inicial (redirección a Authelia → autenticación → vuelta a la app), logout (cookie de Authelia y sesión de la app invalidadas), y segundo factor si está activado. No desconectes Keycloak hasta que todos los flujos de todas las aplicaciones estén validados en Authelia. Mantén el contenedor Keycloak detenido pero no eliminado durante 30 días para poder hacer rollback.

ZITADEL — IdP API-first para equipos de desarrollo

Migrar de Keycloak a ZITADEL — procedimiento en VPS

1. 06

   Desplegar ZITADEL con Docker Compose

   ZITADEL proporciona un docker-compose.yml oficial en su repositorio de GitHub (directorio e2e/). La configuración mínima requiere PostgreSQL (o CockroachDB) y un ZITADEL_MASTERKEY de 32 caracteres:

   ZITADEL_MASTERKEY=$(openssl rand -base64 32)

   Consulta la documentación oficial en https://zitadel.com/docs/self-hosting/deploy/compose para el archivo completo y las variables de entorno requeridas.

2. 07

   Crear aplicaciones OIDC en ZITADEL

   En la consola de ZITADEL (https://tu-instancia:8080), crea una Organización y luego un Proyecto. Dentro de ese proyecto, crea una Aplicación de tipo «Web» o «User Agent» según tu caso de uso.

   ZITADEL genera un Client ID y un Client Secret. Configura las Redirect URIs usando el JSON exportado de Keycloak como referencia. El endpoint de Discovery está en https://tu-instancia:8080/.well-known/openid-configuration.

3. 08

   Migrar usuarios desde Keycloak

   Keycloak puede exportar usuarios de un realm como JSON desde la consola (Realm Settings → Export → marcar «Export users»). Las contraseñas hasheadas no se pueden importar directamente en ZITADEL — los algoritmos de hash difieren.

   Dos enfoques: (1) importar metadatos de usuario vía la API de ZITADEL (POST /management/v1/users/human/_import) con restablecimiento de contraseña obligatorio al primer inicio de sesión, o (2) migración progresiva vía login social/OIDC (ZITADEL consume Keycloak como IdP externo durante la transición). El enfoque (2) evita pedir a todos los usuarios que restablezcan su contraseña el mismo día.

4. 09

   Actualizar tus aplicaciones para apuntar a ZITADEL

   Actualiza las variables de entorno de cada aplicación:

   OIDC_ISSUER=https://tu-instancia:8080
OIDC_CLIENT_ID=<zitadel-client-id>
OIDC_CLIENT_SECRET=<zitadel-client-secret>

   El endpoint de Discovery permite a la mayoría de las bibliotecas OIDC auto-configurarse. Prueba cada aplicación con una cuenta de prueba antes de cambiar el tráfico de producción.

5. 10

   Validar los flujos SSO y deshabilitar Keycloak

   Verifica login, logout, refresco de token y segundo factor en cada aplicación. En ZITADEL, la pestaña «Sessions» de la consola te permite ver las sesiones activas en tiempo real e invalidarlas si es necesario.

   Mantén el contenedor Keycloak detenido pero no eliminado durante 30 días. Elimínalo tras este período de retención.

Errores comunes durante la migración SSO

Tras la migración — probar la autenticación de cada aplicación