Критическая уязвимость обхода сброса учётных данных в Keycloak (CVE-2026-18963)
В компоненте keycloak-services — ядре управления идентификацией и доступом в Red Hat Build of Keycloak — выявлена уязвимость, получившая идентификатор CVE-2026-18963 и критический уровень опасности. Проблема затрагивает процесс сброса учётных данных (reset-credentials flow) и позволяет полностью скомпрометировать учётные записи пользователей без какой-либо предварительной аутентификации.
Подробности
Уязвимость связана с обходом обязательной проверки: в штатном сценарии сброса пароля пользователь должен подтвердить запрос переходом по ссылке, отправленной на email. Из-за ошибки в логике keycloak-services атакующий может инициировать сброс пароля для произвольного пользователя и завершить его, не дожидаясь подтверждения по электронной почте, — то есть установить новые учётные данные напрямую.
Успешная эксплуатация приводит к полному захвату целевой учётной записи (account takeover), включая административные аккаунты, что делает последствия особенно серьёзными для инфраструктур SSO и IAM. Уязвимость не требует аутентификации, что снижает порог входа для злоумышленника.
Затронутые продукты и версии:
- Red Hat Build of Keycloak 26.4 и 26.4.15;
- Red Hat Build of Keycloak 26.6 и 26.6.6;
- Red Hat JBoss Enterprise Application Platform Expansion Pack;
- Red Hat Single Sign-On 7.
Уровень опасности по CVSS — 9.1 (CRITICAL).
Что делать
Рекомендуется как можно скорее установить обновления, выпущенные производителем для затронутых версий Red Hat Build of Keycloak и связанных продуктов. Перед обновлением проверьте актуальные бюллетени Red Hat и матрицу совместимости вашей версии.
До применения патча целесообразно рассмотреть временные митигации:
- ограничить сетевой доступ к эндпоинтам сброса учётных данных на уровне межсетевого экрана или reverse proxy, оставив их доступными только доверенным сегментам;
- усилить мониторинг событий, связанных со сбросом пароля и изменением учётных данных, для выявления аномальной активности;
- включить многофакторную аутентификацию для привилегированных учётных записей и проверить журналы на предмет подозрительных сбросов.
После обновления рекомендуется провести ревизию учётных записей и журналов аутентификации на предмет признаков компрометации.
Уязвимость CVE-2026-18963 представляет серьёзную угрозу для организаций, использующих Keycloak и Red Hat Single Sign-On в качестве централизованной системы аутентификации: захват учётной записи через обход проверки email открывает путь к несанкционированному доступу ко всем связанным сервисам. Критический рейтинг CVSS 9.1 и отсутствие необходимости аутентификации требуют приоритетного реагирования — установки обновлений и временных компенсирующих мер.
Источник: CVE Project (cvelistV5)