Keycloak trasforma il reset password in account takeover
Red Hat e il progetto Keycloak hanno corretto CVE-2026-18963, una falla critica che permette a un attaccante non autenticato di prendere il controllo di qualunque account, compresi quelli amministrativi. Le patch sono uscite per Keycloak upstream 26.7.2 e per Red Hat build of Keycloak nelle stream 26.4.15 e 26.6.6.
Il problema è nel flusso di reset: una richiesta costruita ad arte fa saltare il controllo sul token inviato via email e porta direttamente alla fase di cambio password. Il server si fida troppo del proprio stato interno, così il reset diventa una via d’accesso al livello di login che protegge tutto ciò che sta dietro Keycloak.
Per chi usa Keycloak come SSO centrale, il punto non è solo il singolo account: una volta oltrepassato quel confine, eredita fiducia su più applicazioni. Resta anche da chiarire quali configurazioni di reset-credentials siano davvero esposte, quindi conviene verificare il proprio flusso di forgotten-password e non assumere che la correzione sia uniforme ovunque.