ZONE.CI 全球网

Keycloak客户端管理组件存在RCE漏洞，可允许有客户端管理权限的人上传JS策略在KeycloakJVM里执行，可能读取敏感数据、更改配置或停掉服务。建议升级至安全版本或限制权限以修复。

ApacheCamel修复了四个高危漏洞，包括三个标头注入漏洞（CVE-2026-55994、CVE-2026-55993、CVE-2026-46726）和一个Keycloak身份验证绕过漏洞（CVE-2026-53913）。标头注入可导致SSRF和机密泄露，Keycloak绕过可能引发RCE。受影响版本广泛，建议升级至4.21.0或应用临时缓解措施如移除Camel控制标头。

本文通报两项高危漏洞。Keycloak凭据重置缺陷CVE-2026-18963允许攻击者绕过邮件验证强制重置密码接管账户，评分为9.1。MicrosoftEntraID反序列化漏洞CVE-2026-69836可致未授权远程代码执行，满分10.0且已有在野利用。建议受影响用户立即查阅官方指南进行升级修补。

Keycloak26.0.0至26.7.1版本存在严重漏洞CVE-2026-18963，允许未认证攻击者绕过邮件验证环节，为任意已知用户名的账号重置密码，实现完全账号接管（ATO），CVSS评分9.1。根因是认证选择器状态未绑定执行与重置密码动作未校验令牌两处缺陷叠加。建议立即升级至26.7.2+或临时关闭忘记密码功能。

红帽Keycloak存在高危密码重置漏洞CVE-2026-18963，CVSS评分9.1，允许未认证攻击者绕过邮件验证直接重置密码接管账户。影响keycloak-services组件，红帽已发布修复补丁，建议立即升级或临时关闭忘记密码功能。

奇安信CERT披露Keycloak高危漏洞CVE-2026-18963，CVSS评分9.1。该漏洞源于密码重置流程缺陷，攻击者可利用参数污染绕过邮箱验证，直接重置任意已知用户密码实现账户接管。全球受影响资产近39万个。建议尽快升级至安全版本，临时可采取禁用忘记密码功能、配置WAF拦截及启用多因素认证等措施。

本周网络安全呈现漏洞高危化、事件规模化、制度精细化三重特征。Keycloak、Nacos、Next.js及RedisTLS等高危漏洞集中披露，攻击链指向身份认证绕过与远程代码执行。ShinyHunters与Akira等组织活跃，Carhartt约1290万账户、曼彻斯特机场集团约870万客户数据遭泄露。政策方面，国防动员法新增数据安全规定，国家数据局推动公共数据授权运营，工信部明确增强重点领域安全水平。建议及时升级修复漏洞、收敛暴露面、强化数据平台防护。

ApacheCamel修复了四个高危漏洞，包括三个标头注入漏洞（CVE-2026-55994、CVE-2026-55993、CVE-2026-46726）和一个Keycloak身份验证绕过漏洞（CVE-2026-53913）。标头注入可导致SSRF和机密泄露，Keycloak绕过可能引发RCE。受影响版本广泛，建议升级至4.21.0或应用临时缓解措施如移除Camel控制标头。

本文通报两项高危漏洞。Keycloak凭据重置缺陷CVE-2026-18963允许攻击者绕过邮件验证强制重置密码接管账户，评分为9.1。MicrosoftEntraID反序列化漏洞CVE-2026-69836可致未授权远程代码执行，满分10.0且已有在野利用。建议受影响用户立即查阅官方指南进行升级修补。

Keycloak26.0.0至26.7.1版本存在严重漏洞CVE-2026-18963，允许未认证攻击者绕过邮件验证环节，为任意已知用户名的账号重置密码，实现完全账号接管（ATO），CVSS评分9.1。根因是认证选择器状态未绑定执行与重置密码动作未校验令牌两处缺陷叠加。建议立即升级至26.7.2+或临时关闭忘记密码功能。

红帽Keycloak存在高危密码重置漏洞CVE-2026-18963，CVSS评分9.1，允许未认证攻击者绕过邮件验证直接重置密码接管账户。影响keycloak-services组件，红帽已发布修复补丁，建议立即升级或临时关闭忘记密码功能。

奇安信CERT披露Keycloak高危漏洞CVE-2026-18963，CVSS评分9.1。该漏洞源于密码重置流程缺陷，攻击者可利用参数污染绕过邮箱验证，直接重置任意已知用户密码实现账户接管。全球受影响资产近39万个。建议尽快升级至安全版本，临时可采取禁用忘记密码功能、配置WAF拦截及启用多因素认证等措施。

本周网络安全呈现漏洞高危化、事件规模化、制度精细化三重特征。Keycloak、Nacos、Next.js及RedisTLS等高危漏洞集中披露，攻击链指向身份认证绕过与远程代码执行。ShinyHunters与Akira等组织活跃，Carhartt约1290万账户、曼彻斯特机场集团约870万客户数据遭泄露。政策方面，国防动员法新增数据安全规定，国家数据局推动公共数据授权运营，工信部明确增强重点领域安全水平。建议及时升级修复漏洞、收敛暴露面、强化数据平台防护。

ApacheCamel修复了四个高危漏洞，包括三个标头注入漏洞（CVE-2026-55994、CVE-2026-55993、CVE-2026-46726）和一个Keycloak身份验证绕过漏洞（CVE-2026-53913）。标头注入可导致SSRF和机密泄露，Keycloak绕过可能引发RCE。受影响版本广泛，建议升级至4.21.0或应用临时缓解措施如移除Camel控制标头。

本文通报两项高危漏洞。Keycloak凭据重置缺陷CVE-2026-18963允许攻击者绕过邮件验证强制重置密码接管账户，评分为9.1。MicrosoftEntraID反序列化漏洞CVE-2026-69836可致未授权远程代码执行，满分10.0且已有在野利用。建议受影响用户立即查阅官方指南进行升级修补。

Keycloak26.0.0至26.7.1版本存在严重漏洞CVE-2026-18963，允许未认证攻击者绕过邮件验证环节，为任意已知用户名的账号重置密码，实现完全账号接管（ATO），CVSS评分9.1。根因是认证选择器状态未绑定执行与重置密码动作未校验令牌两处缺陷叠加。建议立即升级至26.7.2+或临时关闭忘记密码功能。

红帽Keycloak存在高危密码重置漏洞CVE-2026-18963，CVSS评分9.1，允许未认证攻击者绕过邮件验证直接重置密码接管账户。影响keycloak-services组件，红帽已发布修复补丁，建议立即升级或临时关闭忘记密码功能。

奇安信CERT披露Keycloak高危漏洞CVE-2026-18963，CVSS评分9.1。该漏洞源于密码重置流程缺陷，攻击者可利用参数污染绕过邮箱验证，直接重置任意已知用户密码实现账户接管。全球受影响资产近39万个。建议尽快升级至安全版本，临时可采取禁用忘记密码功能、配置WAF拦截及启用多因素认证等措施。

本周网络安全呈现漏洞高危化、事件规模化、制度精细化三重特征。Keycloak、Nacos、Next.js及RedisTLS等高危漏洞集中披露，攻击链指向身份认证绕过与远程代码执行。ShinyHunters与Akira等组织活跃，Carhartt约1290万账户、曼彻斯特机场集团约870万客户数据遭泄露。政策方面，国防动员法新增数据安全规定，国家数据局推动公共数据授权运营，工信部明确增强重点领域安全水平。建议及时升级修复漏洞、收敛暴露面、强化数据平台防护。

ApacheCamel修复了四个高危漏洞，包括三个标头注入漏洞（CVE-2026-55994、CVE-2026-55993、CVE-2026-46726）和一个Keycloak身份验证绕过漏洞（CVE-2026-53913）。标头注入可导致SSRF和机密泄露，Keycloak绕过可能引发RCE。受影响版本广泛，建议升级至4.21.0或应用临时缓解措施如移除Camel控制标头。

红帽Keycloak存在高危密码重置漏洞CVE-2026-18963，CVSS评分9.1，允许未认证攻击者绕过邮件验证直接重置密码接管账户。影响keycloak-services组件，红帽已发布修复补丁，建议立即升级或临时关闭忘记密码功能。

Keycloak26.0.0至26.7.1版本存在严重漏洞CVE-2026-18963，允许未认证攻击者绕过邮件验证环节，为任意已知用户名的账号重置密码，实现完全账号接管（ATO），CVSS评分9.1。根因是认证选择器状态未绑定执行与重置密码动作未校验令牌两处缺陷叠加。建议立即升级至26.7.2+或临时关闭忘记密码功能。

红帽Keycloak存在高危密码重置漏洞CVE-2026-18963，CVSS评分9.1，允许未认证攻击者绕过邮件验证直接重置密码接管账户。影响keycloak-services组件，红帽已发布修复补丁，建议立即升级或临时关闭忘记密码功能。

奇安信CERT披露Keycloak高危漏洞CVE-2026-18963，CVSS评分9.1。该漏洞源于密码重置流程缺陷，攻击者可利用参数污染绕过邮箱验证，直接重置任意已知用户密码实现账户接管。全球受影响资产近39万个。建议尽快升级至安全版本，临时可采取禁用忘记密码功能、配置WAF拦截及启用多因素认证等措施。

本周网络安全呈现漏洞高危化、事件规模化、制度精细化三重特征。Keycloak、Nacos、Next.js及RedisTLS等高危漏洞集中披露，攻击链指向身份认证绕过与远程代码执行。ShinyHunters与Akira等组织活跃，Carhartt约1290万账户、曼彻斯特机场集团约870万客户数据遭泄露。政策方面，国防动员法新增数据安全规定，国家数据局推动公共数据授权运营，工信部明确增强重点领域安全水平。建议及时升级修复漏洞、收敛暴露面、强化数据平台防护。