文章总结： 奇安信CERT披露Keycloak高危漏洞CVE-2026-18963，CVSS评分9.1。该漏洞源于密码重置流程缺陷，攻击者可利用参数污染绕过邮箱验证，直接重置任意已知用户密码实现账户接管。全球受影响资产近39万个。建议尽快升级至安全版本，临时可采取禁用忘记密码功能、配置WAF拦截及启用多因素认证等措施。 综合评分： 81 文章分类： 漏洞预警,漏洞分析,应用安全

【已复现】Keycloak 账户接管漏洞(CVE-2026-18963)安全风险通告

奇安信 CERT

2026年8月25日 17:05 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

● 点击↑蓝字关注我们，获取更多安全风险通告

| | | | | | — | — | — | — | | 漏洞概述 | | | | | 漏洞名称 | Keycloak 账户接管漏洞 | | | | 漏洞编号 | QVD-2026-54563，CVE-2026-18963 | | | | 公开时间 | 2026-08-12 | 影响量级 | 十万级 | | 奇安信评级 | 高危 | CVSS 3.1分数 | 9.1 | | 威胁类型 | 认证绕过 | 利用可能性 | 高 | | POC状态 | 已公开 | 在野利用状态 | 未发现 | | EXP状态 | 已公开 | 技术细节状态 | 已公开 | | 危害描述：攻击成功后，攻击者可以控制包括管理员在内的任意账户，访问受 Keycloak 保护的所有应用系统和资源，获取敏感业务数据、用户个人信息、系统配置等机密信息，并可利用被接管的账户进行横向移动和权限提升，对组织的身份认证体系造成严重破坏，导致大规模数据泄露、业务系统瘫痪、供应链攻击等严重安全事件。 | | | |

01

漏洞详情

>>>>

影响组件

Keycloak 是 Red Hat 开发的一款开源身份认证和访问管理解决方案，支持单点登录(SSO)、OAuth 2.0、OpenID Connect 等标准协议。该产品广泛应用于企业级应用的用户认证、授权管理和身份联合场景，为 Web 应用、移动应用和 RESTful API 提供安全的身份管理服务。

>>>>

漏洞描述

近日，奇安信CERT监测到官方修复Keycloak 账户接管漏洞(CVE-2026-18963)，该漏洞源于 Keycloak 密码重置流程中的认证状态管理缺陷，攻击者可利用 tryAnotherWay 参数污染全局认证状态，在重置密码流程中绕过邮箱验证步骤，直接访问密码更新接口，实现对任意已知用户名账户的完全接管。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

>>>>

利用条件

1.目标 Keycloak 实例启用了”忘记密码”功能；

2.攻击者知道目标用户名。

02

影响范围

>>>>

影响版本

26.0.0 <= Keycloak <= 26.0.17

26.1.0 <= Keycloak <= 26.1.5

26.2.0 <= Keycloak <= 26.2.16

26.3.0 <= Keycloak <= 26.3.5

26.4.0 <= Keycloak <= 26.4.14

26.5.0 <= Keycloak <= 26.5.7

26.6.0 <= Keycloak <= 26.6.5

26.7.0 <= Keycloak <= 26.7.1

>>>>

其他受影响组件

无

03

复现情况

目前，奇安信CERT已成功复现Keycloak 账户接管漏洞(CVE-2026-18963)，截图如下：

04

受影响资产情况

奇安信鹰图资产测绘平台数据显示，Keycloak 账户接管漏洞(CVE-2026-18963)关联的国内风险资产总数为34274个，关联IP总数为1755个。国内风险资产分布情况如下：

Keycloak 账户接管漏洞(CVE-2026-18963)关联的全球风险资产总数为389582个，关联IP总数为23311个。全球风险资产分布情况如下：

05

处置建议

>>>>

安全更新

官方已发布安全补丁，请及时更新至最新版本：

上游 Keycloak 社区版：升级至 26.7.2 或更高版本。

Red Hat Build of Keycloak 26.4：升级至26.4.15（RHSA-2026:56519、RHSA-2026:56520）。

Red Hat Build of Keycloak 26.6：升级至26.6.6（RHSA-2026:56523、RHSA-2026:56524）。

升级后验证重置流程是否正常。

下载地址：

https://www.keycloak.org/downloads

临时缓解措施：

1. 禁用”忘记密码”功能；

2. 网络层防护：在 WAF 或防火墙上设置规则，检测和阻止针对密码重置接口的异常请求序列；

3. 启用多因素认证（MFA）为所有用户，特别是管理员账户启用多因素认证，即使密码被重置，攻击者仍需第二因素才能登录。

06

参考资料

[1]https://access.redhat.com/security/cve/CVE-2026-18963

[2]https://github.com/keycloak/keycloak/issues/51833

07

时间线

2026年08月25日，奇安信 CERT发布安全风险通告。

08

漏洞情报服务

「奇安信漏洞情报平台」重磅上线，诚邀您来体验：

奇安信 CERT

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

点击↓阅读原文，到ALPHA威胁分析平台订阅更多漏洞信息。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：奇安信 CERT 《【已复现】Keycloak 账户接管漏洞(CVE-2026-18963)安全风险通告》