KEDAプロジェクトは9月23日、GitHub Security Advisory（GHSA-637c-6jxx-4rwm）で深刻度Critical（CVSS 9.9）の権限昇格を公開した。自名前空間でTriggerAuthenticationとScaledObjectを作れる利用者が、KEDAオペレータ自身のServiceAccountトークンを、利用者が指定したURLへ送らせられる。既定インストールのオペレータはクラスタ広域のSecret読み取り、Job作成、admission webhookやAPIServiceの更新権限を持つため、実質クラスタ管理者相当へつながる。
対象は2.20.0以下。公開時点で修正版は示されていない。2025年12月の任意ファイル読み取り（CVE-2025-68476）の修正が、読み込んだ内容がKubernetesのServiceAccount JWTであることだけを確認していたため、オペレータ自身のトークンはその検査を通る。hashiCorpVault.addressも検証されない。
マルチテナントでKEDAのテナント向けワークフローを許しているクラスタは、パッチ待ちの間も放置できない。TriggerAuthenticationの作成を信頼できる管理者に限り、オペレータからの外向き通信を制限する。Vault連携を使っていなくても、既定のkubernetes認証がオペレータ自身のトークンを使う点を前提に、RBACとNetworkPolicyを見直す必要がある。