文章总结： 本文通报两项高危漏洞。Keycloak凭据重置缺陷CVE-2026-18963允许攻击者绕过邮件验证强制重置密码接管账户，评分为9.1。MicrosoftEntraID反序列化漏洞CVE-2026-69836可致未授权远程代码执行，满分10.0且已有在野利用。建议受影响用户立即查阅官方指南进行升级修补。 综合评分： 55 文章分类： 漏洞预警,漏洞分析

漏洞斥候 | 20260824 今日重点漏洞：CVE-2026-18963, CVE-2026-69836

原创

发卡的哥哥 发卡的哥哥

梁总助理

2026年8月24日 17:32 韩国

在小说阅读器读本章

去阅读

CVE-2026-18963

Keycloak 授权问题漏洞

概述：Keycloak存在授权问题漏洞，该漏洞源于keycloak-services组件的重置凭据流程存在缺陷，允许未经身份验证的攻击者强制任意用户的密码重置过程而无需点击邮件验证链接，可能导致攻击者直接设置新凭据从而完全控制目标用户账户

类型：弱密码恢复机制 ，CWE 640

严重性：CVSS 9.1

poc（无）

参考：

https://access.redhat.com/security/cve/cve-2026-18963

处置参考：

https://access.redhat.com/security/cve/cve-2026-18963

CVE-2026-69836

Microsoft Entra ID 远程代码执行漏洞

概述：Microsoft Entra存在反序列化注入漏洞，该漏洞源于对不可信数据的反序列化，可能导致未经授权的攻击者通过网络执行代码

类型：不受信任数据的反序列化，CWE 502

严重性：CVSS 10.0

poc（已有在野利用）

参考：

https://thehackernews.com/2026/08/microsoft-entra-id-flaw-cvss-100.html

处置参考：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-69836

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：梁总助理 发卡的哥哥 发卡的哥哥《漏洞斥候 | 20260824 今日重点漏洞：CVE-2026-18963, CVE-2026-69836》