Vulnerabilità · 49 giorni fa
Red Hat ha corretto in Keycloak CVE-2026-18963, una falla critica che consente a un attaccante non autenticato di prendersi un account senza accedere alla casella email dell’utente. Il dettaglio arrivato al terzo giorno cambia il quadro: non è solo un bug del reset password, è un percorso di account takeover che aggira la verifica via email su cui si fonda il recupero credenziali.
Il flusso di recupero si fida di uno stato che non dovrebbe considerare valido. In pratica, il sistema può credere concluso il controllo anche quando la prova non è passata dalla casella della vittima. Per chi usa Keycloak come punto di accesso per più applicazioni, il problema non resta nel modulo di reset: si sposta sull’identità stessa e sulle sessioni che da lì dipendono.
L’advisory NCSC segnala anche altre falle in Keycloak e nel Red Hat Build of Keycloak, ma la svolta è questa: una password reimpostata può non appartenere più all’utente. Dove il reset è esposto, i conti recuperati vanno considerati potenzialmente già compromessi.
CVE in questo aggiornamento
7 CVE
Distribuite tra BigFix, Red Hat build of Keycloak 26.4, Red Hat build of Keycloak 26.4.15 e altri pacchetti correlati.
1 critiche · 0 alte · 6 medie · 0 basse
0 in CISA KEV · 1 con EPSS sopra 1%
Severità più alta: CVE-2026-18963 · 9.1 CRITICAL
EPSS più alto: CVE-2026-18963 · 3,2%
2 fonti che coprono questa storia
Kwetsbaarheden verholpen in Keycloak
De kwetsbaarheid met CVE-2026-18963 kan een ongeauthenticeerde externe aanvaller in staat stellen om elke gebruikersaccount over te nemen door een wachtwoordreset af te dwingen.
Critical Keycloak Password Reset Flaw Could Let Unauthenticated Attackers Take Over Any Account
Keycloak CVE-2026-18963 could let unauthenticated attackers skip the emailed action token and reset any user's password.
Part of the PlainSec briefing for 2026-08-26