【已复现】Keycloak 账户接管漏洞(CVE-2026-18963)安全风险通告

奇安信 CERT

2026年8月25日 17:05
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

● 点击↑蓝字关注我们，获取更多安全风险通告

01

漏洞详情

>>>>

影响组件

Keycloak 是 Red Hat 开发的一款开源身份认证和访问管理解决方案，支持单点登录(SSO)、OAuth 2.0、OpenID Connect 等标准协议。该产品广泛应用于企业级应用的用户认证、授权管理和身份联合场景，为 Web 应用、移动应用和 RESTful API 提供安全的身份管理服务。

>>>>

漏洞描述

近日，奇安信CERT监测到官方修复Keycloak 账户接管漏洞(CVE-2026-18963)，该漏洞源于 Keycloak 密码重置流程中的认证状态管理缺陷，攻击者可利用 tryAnotherWay 参数污染全局认证状态，在重置密码流程中绕过邮箱验证步骤，直接访问密码更新接口，实现对任意已知用户名账户的完全接管。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

>>>>

利用条件

1.目标 Keycloak 实例启用了\"忘记密码\"功能；

2.攻击者知道目标用户名。

02

影响范围

>>>>

影响版本

26.0.0 <= Keycloak <= 26.0.17

26.1.0 <= Keycloak <= 26.1.5

26.2.0 <= Keycloak <= 26.2.16

26.3.0 <= Keycloak <= 26.3.5

26.4.0 <= Keycloak <= 26.4.14

26.5.0 <= Keycloak <= 26.5.7

26.6.0 <= Keycloak <= 26.6.5

26.7.0 <= Keycloak <= 26.7.1

>>>>

其他受影响组件

无

03

复现情况

目前，奇安信CERT已成功复现Keycloak 账户接管漏洞(CVE-2026-18963)，截图如下：

04

受影响资产情况

奇安信鹰图资产测绘平台数据显示，Keycloak 账户接管漏洞(CVE-2026-18963)关联的国内风险资产总数为34274个，关联IP总数为1755个。国内风险资产分布情况如下：

Keycloak 账户接管漏洞(CVE-2026-18963)关联的全球风险资产总数为389582个，关联IP总数为23311个。全球风险资产分布情况如下：

05

处置建议

>>>>

安全更新

官方已发布安全补丁，请及时更新至最新版本：

上游 Keycloak 社区版：升级至 26.7.2 或更高版本。

Red Hat Build of Keycloak 26.4：升级至26.4.15（RHSA-2026:56519、RHSA-2026:56520）。

Red Hat Build of Keycloak 26.6：升级至26.6.6（RHSA-2026:56523、RHSA-2026:56524）。

升级后验证重置流程是否正常。

下载地址：

https://www.keycloak.org/downloads

临时缓解措施：

1. 禁用\"忘记密码\"功能；

2. 网络层防护：在 WAF 或防火墙上设置规则，检测和阻止针对密码重置接口的异常请求序列；

3. 启用多因素认证（MFA）为所有用户，特别是管理员账户启用多因素认证，即使密码被重置，攻击者仍需第二因素才能登录。

06

参考资料

[1]https://access.redhat.com/security/cve/CVE-2026-18963

[2]https://github.com/keycloak/keycloak/issues/51833

07

时间线

2026年08月25日，奇安信 CERT发布安全风险通告。

08

漏洞情报服务

「奇安信漏洞情报平台」重磅上线，诚邀您来体验：

奇安信 CERT

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

点击↓阅读原文，到ALPHA威胁分析平台订阅更多漏洞信息。