Red Hat Keycloak高危密码重置漏洞，可实现未认证情况下接管账户

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年8月25日 18:41
江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

红帽披露了红帽定制版Keycloak中的一处高危漏洞。未经身份验证的远程攻击者可绕过密码重置流程中的关键安全防护，接管任意用户账户。

该漏洞编号为CVE‑2026‑18963，影响 keycloak‑services 组件，它是企业版Keycloak身份与访问管理的核心引擎。红帽为该漏洞分配的CVSS 3.1评分为9.1，属于严重（Critical）级别。

Red Hat Keycloak高危密码重置漏洞

受影响的重置凭证流程，在密码恢复环节未做状态校验。正常情况下，密码重置需要用户点击邮件内的验证链接，之后才允许设置新密码。

红帽表示，攻击者无需完成邮件验证步骤，即可强行触发任意账户的密码重置流程，直接设置新密码，获取目标账号的完整访问权限。

该漏洞利用条件：网络可达、攻击复杂度低，无需权限，也不需要用户交互。
因此暴露在互联网上的Keycloak实例需要优先修复，尤其是用来管控员工应用、管理控制台、客户服务或者单点登录环境的部署环境。

红帽称，漏洞利用成功后会造成机密性、完整性遭到破坏，但不会直接影响业务可用性。
该问题根源是重置凭证认证流程的状态校验逻辑存在缺陷，对应缺陷类型为CWE‑640：密码恢复机制保护不足。

一旦高权限账户被攻陷，入侵者就可以修改域配置、开辟访问通道，横向入侵关联应用，具体取决于被攻陷账号的权限。企业应当排查密码重置行为、异常密码修改记录以及近期管理员登录日志，寻找漏洞被滥用的痕迹。

红帽已于2026年8月18日发布安全修复，针对红帽定制版Keycloak 26.4、26.4.15、26.6、26.6.6版本，对应安全公告编号 RHSA‑2026:56519、RHSA‑2026:56520、RHSA‑2026:56523、RHSA‑2026:56524。管理员应尽快安装对应的软件包与Operator组件。

若暂时无法升级，红帽给出临时缓解方案：在每一个域（Realm）设置中关闭“忘记密码”功能，操作路径：域设置 > 登录 > 忘记密码 > 关闭。该方案只能降低攻击风险，不能替代官方补丁修复。

官方公告中包含Operator包、基于RHEL9的Keycloak软件包、OpenShift部署环境以及受影响版本独立 keycloak‑services 组件的修复版本。厂商提醒：除非产品明确标记为不受影响，否则同一小版本分支下的旧版本即使没有完成完整分析，也应当视作存在漏洞。

安全团队需要梳理全部域配置，确认密码恢复功能开启状态；维护完成后，验证实例已经运行打过补丁的镜像。由于密码重置流程涉及身份体系、邮件和多类应用边界，如果确认漏洞遭到利用，应急响应人员还应当作废可疑会话。