În acest material discutăm despre o vulnerabilitate critică descoperită în Red Hat Keycloak, care poate permite unui atacator de la distanță, fără autentificare, să preia controlul asupra conturilor utilizatorilor prin exploatarea mecanismului de resetare a parolei.
Problema, identificată drept CVE-2026-18963, a primit un scor de 9,1 din 10 pe scala CVSS, fiind clasificată de Red Hat drept o vulnerabilitate de nivel „Critical”.
Gravitatea situației este amplificată de faptul că exploatarea nu necesită ca victima să efectueze vreo acțiune. Vulnerabilitatea permite ocolirea verificării prin e-mail care ar trebui să confirme că persoana care solicită resetarea parolei are acces la contul respectiv. În anumite condiții, atacatorul poate ajunge astfel să stabilească direct noi credențiale pentru contul vizat.
Problema este relevantă în special pentru organizațiile care folosesc Red Hat Keycloak ca infrastructură centralizată de autentificare și gestionare a identității. Compromiterea unui cont poate avea consecințe semnificative, iar în cazul unui utilizator cu privilegii ridicate impactul poate depăși cu mult nivelul unui singur cont. Red Hat a publicat deja actualizări de securitate pentru remedierea vulnerabilității.
Ce este Red Hat Keycloak?
Red Hat Keycloak este o soluție de gestionare a identității și accesului (IAM), utilizată de organizații pentru autentificarea și autorizarea utilizatorilor în aplicații și servicii. Platforma permite administrarea centralizată a conturilor, parolelor și drepturilor de acces și oferă funcții precum autentificarea unică (Single Sign-On), conectarea prin furnizori externi de identitate și autentificarea multifactor.
Prin centralizarea procesului de autentificare, Red Hat Keycloak poate deveni o componentă importantă a infrastructurii IT. Din acest motiv, vulnerabilitățile care afectează mecanismele de autentificare sau recuperare a conturilor pot avea un impact semnificativ asupra organizațiilor care utilizează platforma.
Cum funcționează vulnerabilitatea
Vulnerabilitatea se află în fluxul reset-credentials din componenta keycloak-services, responsabilă de o parte importantă a funcționalității de gestionare a identității din Red Hat Keycloak. Cauza identificată de Red Hat este o validare incorectă a stării în cadrul fluxului de autentificare pentru recuperarea contului.
În scenariul normal, un utilizator care își uită parola inițiază procedura de recuperare, iar Red Hat Keycloak trimite un mesaj la adresa de e-mail asociată contului. Linkul din mesaj trebuie accesat înainte ca procesul să poată continua către schimbarea parolei. Această etapă reprezintă o măsură importantă prin care sistemul verifică faptul că solicitantul are acces la adresa de e-mail a utilizatorului.
CVE-2026-18963 permite însă unui atacator neautentificat să forțeze procesul de resetare fără ca verificarea obligatorie prin e-mail să fie realizată. Potrivit descrierii oficiale, atacatorul poate ajunge direct la etapa în care sunt stabilite noi credențiale, ceea ce poate conduce la preluarea completă a contului.
De ce este considerată o vulnerabilitate critică
Red Hat a acordat vulnerabilității un scor CVSS de 9,1, ceea ce o plasează foarte aproape de nivelul maxim de severitate. Evaluarea ia în calcul faptul că atacul poate fi realizat de la distanță, fără privilegii prealabile și fără interacțiunea utilizatorului.
Un alt element important este impactul asupra autentificării. Nu este vorba doar despre expunerea unor informații sau despre posibilitatea executării unei operațiuni limitate. Exploatarea cu succes poate permite atacatorului să seteze o parolă nouă și, implicit, să obțină acces deplin la contul țintă.
În infrastructurile unde Red Hat Keycloak este utilizat pentru autentificarea mai multor aplicații, compromiterea unui cont poate avea efecte în lanț. Riscul este cu atât mai mare atunci când contul vizat deține privilegii administrative sau oferă acces la servicii și resurse importante.
Ce versiuni sunt afectate și ce trebuie făcut
Red Hat a publicat actualizări de securitate pentru versiunile afectate. Pentru ramura Red Hat Keycloak 26.4, versiunea corectată este 26.4.15, în timp ce pentru ramura 26.6, remedierea este disponibilă în 26.6.6. Informațiile oficiale privind pachetele și actualizările afectate sunt incluse în advisory-urile Red Hat.
Și proiectul Keycloak a continuat să publice versiuni actualizate. Keycloak 26.7.2 a fost lansat pe 19 august 2026, însă administratorii trebuie să verifice în primul rând produsul și ramura utilizată în infrastructura proprie pentru a identifica pachetul de remediere corespunzător.
Administratorii sistemelor afectate ar trebui să prioritizeze instalarea actualizărilor de securitate și să verifice configurațiile care permit utilizatorilor să folosească funcția de recuperare a parolei. În cazul în care actualizarea imediată nu este posibilă, dezactivarea temporară a funcției de resetare a parolei poate reduce riscul până la aplicarea patch-ului.
Situația actuală
Vulnerabilitatea a fost publicată în august 2026 și a primit identificatorul CVE-2026-18963. Informațiile oficiale confirmă că problema afectează mecanismul de resetare a credențialelor și poate permite preluarea neautorizată a conturilor.
Apariția informațiilor tehnice publice despre vulnerabilitate poate crește riscul pentru organizațiile care rulează versiuni vulnerabile, deoarece acestea pot facilita înțelegerea mecanismului de atac și dezvoltarea unor metode de exploatare.
Red Hat a inclus CVE-2026-18963 în propriile advisory-uri de securitate și a publicat pachetele actualizate pentru versiunile afectate. Administratorii sunt sfătuiți să verifice instalările existente și să aplice cât mai rapid versiunile corectate.
Concluzie
CVE-2026-18963 reprezintă o problemă de securitate serioasă pentru organizațiile care folosesc Red Hat Keycloak în versiuni afectate. Posibilitatea de a ocoli verificarea prin e-mail din procesul de recuperare a parolei transformă vulnerabilitatea într-un vector direct pentru preluarea conturilor, fără autentificarea prealabilă a atacatorului și fără interacțiunea victimei.
Administratorii sunt sfătuiți să identifice rapid instalările vulnerabile și să aplice versiunile corectate, în special 26.4.15 sau 26.6.6, în funcție de ramura utilizată. Într-un sistem centralizat de identitate, remedierea unei astfel de vulnerabilități ar trebui tratată ca o prioritate de securitate, deoarece compromiterea unui singur cont poate oferi acces la resurse suplimentare din infrastructură.
Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, ajutând companiile client să devină conforme NIS2 (și să rămână conforme pe termen lung).
