Уязвимость Authentik (CVE‑2026‑57580) позволяет атаковать SAML‑идентификаторы
Восемь исследователей, включая Claude от Anthropic, обнаружили критическую уязвимость в Authentik, позволяющую подменять NameID в SAML‑токенах без потери подписи.
Что произошло?
В начале августа 2026 года команда Anthropic, используя модель Claude, совместно с семью другими исследователями, обнаружила серию уязвимостей в популярной open‑source системе корпоративного входа Authentik. Все находки свелись к одной уязвимости, получившей идентификатор CVE‑2026‑57580.
Как работает уязвимость?
Authentik использует протокол SAML для передачи атрибутов пользователя. В поле NameID (идентификатор пользователя) можно было внедрить XML‑комментарий, после чего обрезать значение до произвольного адреса. При этом подпись SAML‑токена оставалась валидной, так как проверка подписи осуществлялась над оригинальными байтами, а не над интерпретированным XML‑документом. Это позволяло атакующему привязать к жертве контролируемую учётную запись и получить доступ к защищённым ресурсам.
Масштаб и охват
Исследователи обнаружили 16 SAML‑проектов, использующих уязвимую версию Authentik, в течение одного месяца. Уязвимость проявлялась не во всех конфигурациях – зависела от настроек парсинга XML и от того, включена ли проверка подписи на уровне атрибутов.
Реакция сообщества
Автор проекта Authentik опубликовал патч уже через 48 часов после публичного раскрытия, но в репозитории отмечается, что многие крупные компании‑пользователи ещё не успели обновить свои инсталляции. В открытых обсуждениях на GitHub и в форумах безопасности поднимается вопрос о необходимости более строгой валидации SAML‑токенов и о переходе на XML‑Signature v2.
Что дальше?
CVE‑2026‑57580 уже включена в базы уязвимостей NVD и MITRE. Рекомендуется немедленно обновить Authentik до версии 2.5.1‑release, включить строгую проверку XML‑комментариев и провести аудит всех SAML‑интеграций.
Ссылки:
Для разработчиков, использующих Authentik или любые SAML‑решения, это серьёзный сигнал: проверка подписи должна учитывать реальное содержание XML, а не только его байтовую форму. Обновление до последней версии и внедрение строгих схем валидации — минимум, который нужен сейчас. Студенты курсов по безопасности могут использовать этот кейс как пример атаки через XML‑комментарии и показать, как AI‑модели помогают находить такие уязвимости быстрее, чем традиционный аудит.
