Red Hat ha corretto in Keycloak CVE-2026-18963, una falla critica che consente a un attaccante non autenticato di prendersi un account senza accedere alla casella email dell’utente. Il dettaglio arrivato al terzo giorno cambia il quadro: non è solo un bug del reset password, è un percorso di account takeover che aggira la verifica via email su cui si fonda il recupero credenziali.
Il flusso di recupero si fida di uno stato che non dovrebbe considerare valido. In pratica, il sistema può credere concluso il controllo anche quando la prova non è passata dalla casella della vittima. Per chi usa Keycloak come punto di accesso per più applicazioni, il problema non resta nel modulo di reset: si sposta sull’identità stessa e sulle sessioni che da lì dipendono.
L’advisory NCSC segnala anche altre falle in Keycloak e nel Red Hat Build of Keycloak, ma la svolta è questa: una password reimpostata può non appartenere più all’utente. Dove il reset è esposto, i conti recuperati vanno considerati potenzialmente già compromessi.
2 fonti · 25 ago
CVE in questo aggiornamento
7 CVE
Distribuite tra BigFix, Red Hat build of Keycloak 26.4, Red Hat build of Keycloak 26.4.15 e altri pacchetti correlati.
De kwetsbaarheid met CVE-2026-18963 kan een ongeauthenticeerde externe aanvaller in staat stellen om elke gebruikersaccount over te nemen door een wachtwoordreset af te dwingen.