关键 Keycloak 密码重置漏洞可允许未认证攻击者接管任意账户

Red Hat和Keycloak项目已发布补丁，修复开源身份与访问管理服务器中的一个关键安全漏洞，该漏洞允许未认证远程攻击者通过强制密码重置接管任意用户账户。

该漏洞编号为CVE-2026-18963，Red Hat（作为该漏洞的CVE编号管理局CNA）评定CVSS评分为9.1，归类为弱密码恢复机制（CWE-640）。

上游Keycloak用户建议更新至2026年8月19日发布的26.7.2版本，运行Red Hat Keycloak构建版（RHBK）的客户应应用针对26.4.15和26.6.6发布的更新。

目前尚无证据表明该漏洞已被利用，截至2026年8月24日也未发现已验证的公开利用代码。

Red Hat在其CVE公告中表示，根本原因在于“重置凭据认证流程中的状态验证不当”，即用户请求密码恢复时Keycloak运行的流程序列。Red Hat将严重性评定为关键，因为未认证远程攻击者无需任何用户交互即可利用该漏洞。

根据Red Hat缺陷报告，缺陷在于流程状态管理方式。攻击者向重置凭据端点发送特制请求，认证会话随后直接跳转至密码更新阶段，Keycloak通常通过电子邮件发送的操作令牌从未被要求。

成功利用可导致任意用户（“包括管理账户”）的完全账户接管，通过重置其密码实现。

Escape研究员Enzo Mongin在描述其7月披露的另一Keycloak访问控制漏洞时表示，跨越服务器边界的攻击者不会止步于Keycloak，而是“会进入其背后的所有系统”。

Red Hat于2026年8月18日发布了四个勘误表（RHSA-2026:56519、RHSA-2026:56520、RHSA-2026:56523和RHSA-2026:56524），涵盖独立服务器包和两个RHBK流的容器镜像。修复版本如下：

• Red Hat Keycloak构建版26.4从操作符捆绑包26.4.15-1及rhbk/keycloak-rhel9和rhbk/keycloak-rhel9-operator镜像26.4-23起不受影响

• Red Hat Keycloak构建版26.6从操作符捆绑包26.6.6-1及keycloak-rhel9和操作符容器26.6-12起不受影响

• 上游Keycloak在26.7.2中修复

GitHub公告中受影响和已修补版本均列为未知，CVE记录仅包含Red Hat产品引用。

初始CVE记录将Red Hat Single Sign-On 7列为不受影响，Red Hat JBoss Enterprise Application Platform Expansion Pack列为受影响，后续修订缩小了产品列表，NVD显示截断，因此两者当前状态未确定。

对于无法立即更新的部署，Red Hat发布了临时缓解措施——在所有域中关闭“忘记密码”功能。在RHBK管理控制台中，该设置位于Realm设置 → Login → Forgot password。Red Hat表示该设置必须应用于每个域，客户应尽快升级到修复版本。

CVE-2026-18963是Keycloak 26.7.2发布说明中列出的八个CVE之一。同一版本还修复了CVE-2026-15571，这是一个可预测的账户关联哈希漏洞，可通过恶意OpenID Connect（OIDC）客户端实现账户接管。

两周前，即2026年8月5日，Keycloak 26.7.1发布了十二个CVE的修复，包括一个SAML身份提供者发起的代理登录绕过仅链接限制，以及一个默认动态客户端注册策略允许通过用户属性映射器伪造角色。

另外，Univention在8月20日发布的帖子中表示“Nubus不受此问题影响”，因为其Keycloak部署中未激活忘记密码功能。Red Hat感谢James Paremain报告该漏洞。

目前尚无来源说明修复是否完全解决该漏洞。

关于是否每个启用了忘记密码功能的域都可被利用，还是仅特定重置凭据流程配置可被利用，所有已发布来源均未说明。