Keycloak corrige tomada de conta sem autenticação com exploit público
A CVE-2026-18963 no Keycloak permite que um atacante sem autenticação assuma qualquer conta ao forçar a redefinição de senha sem clicar no link de verificação por e-mail. A Red Hat classificou a falha como crítica (CVSS 9.1) e há prova de conceito pública no Exploit-DB desde 21 de outubro de 2026. Atualize para 26.4.15, 26.6.6, 26.7.2 ou 26.8.0 e posteriores; como mitigação temporária, desative o recurso de recuperação de senha em todos os realms.
O que aconteceu
O Keycloak corrigiu uma falha crítica (CVE-2026-18963) que permite a um atacante remoto, sem autenticação e sem interação da vítima, assumir qualquer conta de usuário definindo uma nova senha, sem passar pela verificação por e-mail. Há prova de conceito pública no Exploit-DB. A Red Hat classificou o risco como crítico, com nota CVSS 9.1.
Por que importa
Empresas que usam Keycloak ou Red Hat Build of Keycloak nas versões 26.x afetadas têm contas, incluindo administradores, expostas a tomada remota por qualquer pessoa que alcance o servidor. O atacante define nova senha, trava o dono original fora e acessa todos os sistemas ligados a esse login central.
O que fazer
Atualize imediatamente para 26.4.15, 26.6.6, 26.7.2 ou 26.8.0 e posteriores. Se a atualização não for possível agora, desative a função Esqueci minha senha em todos os realms (Realm settings, Login, Forgot password, Off) como mitigação temporária.
Para o time técnico
- CVE
- CVE-2026-18963
- Afetados
- Red Hat (Keycloak) Keycloak / Red Hat Build of Keycloak (keycloak-services) · org.keycloak:keycloak-services 26.0.0 a 26.4.14; 26.5.0 a 26.6.5; 26.7.0 a 26.7.1 (GHSA).
- Exploração
- PoC pública no Exploit-DB (EDB-52699, datada 2026-10-21, autor Abel Maldonado, Orevim), com código também no repositório GitHub orevim/CVE-2026-18963-PoC. Testada no Keycloak 26.6.2 em Docker (quay.io/keycloak/keycloak:26.6.2). As fontes não relatam exploração em ambiente real.
- Correção
- Versões corrigidas: 26.4.15, 26.6.6, 26.7.2; a linha 26.8.0 já inclui a correção. Mitigação temporária da Red Hat: desativar Forgot password em todos os realms (RHBK administration console, Realm settings, Login, Forgot password, Off).
- Vetor
- Componente keycloak-services, núcleo de gestão de identidade do Red Hat Build of Keycloak. Falha de validação de estado no fluxo reset-credentials (CWE-640). Segundo o PoC, uma nota AUTHENTICATION_SELECTOR_SCREEN_DISPLAYED sem escopo permite reexibir a tela de seleção de autenticador ligada à execução de e-mail; o handler define emailVerified e chama success sem verificar o action token, e o fluxo chega à ação update-password sem o link enviado por e-mail. Red Hat: explorável por rede, sem privilégios, sem interação do usuário, complexidade baixa (CVSS 9.1).
- Mais detalhes
- Red Hat avaliou severidade crítica e CVSS v3 9.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N), mesmo vetor em cve.org. Falha reportada à Red Hat por James Paremain. Referências: Bugzilla 2511595, GHSA-4gv3-mc9p-5wqc. O PoC tem três modos: --check (testa se a instância é afetada sem enviar e-mail nem alterar conta), --check --users (identifica contas existentes; em build afetada marca emailVerified como efeito colateral) e --set-password (conclui a tomada e trava o dono fora). Endpoints vêm do documento de descoberta OIDC do realm e campos dos próprios formulários, então temas, caminhos e nomes de campo personalizados funcionam sem ajustes.
Linha do tempo
Advisory do GHSA com a CVE e exploit público publicado no Exploit-DB.
Fontes 4 fontes
- Keycloak: unauthenticated account takeover via reset-credentials flow bypass (GHSA-4gv3-mc9p-5wqc) GitHub Advisory Database
- CVE-2026-18963 NVD
- CVE-2026-18963 Red Hat
- Keycloak 26.7.2 - Unauthenticated Account Takeover (EDB-52699) Exploit-DB
