KnowSafe 安全预警：Keycloak 密码重置致认证绕过漏洞（CVE-2026-18963）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-18963 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Keycloak 是开源的身份与访问管理（IAM）组件，keycloak-services 是其核心引擎，Red Hat Build of Keycloak 与 Red Hat Single Sign-On 在其上构建企业级 IAM 能力。受影响版本中，keycloak-services 的重置凭证认证流程在会话状态管理上存在缺陷，未对进入 UPDATE_PASSWORD 步骤的会话路径施加严格的执行态校验，攻击者可以通过向 /realms/{realm}/login-actions/reset-credentials 端点构造触发 Reset Password 执行（execution）的请求，把 UPDATE_PASSWORD 这个 required action 直接写入目标用户的认证会话，跳过 ResetCredentialEmail 经邮件下发的 action token 校验，从而在不知道原密码与不掌握邮件链接的前提下，为任意用户（包含管理员账户）直接设置新的登录凭证。

修复版本中通过收紧 reset-credentials 流程的执行态校验，确保仅在持有合法邮件 action token 且经过 ResetCredentialEmail 的验证路径后才能将 UPDATE_PASSWORD 写入认证会话，未通过邮件验证的会话无法进入密码更新阶段，从而切断未经授权的账号接管链路；具体修复以 Red Hat Build of Keycloak / Red Hat Single Sign-On 的官方修复版本为准。

影响范围

26.0.0 <= keycloak < 26.4.15

26.5.0 <= keycloak < 26.6.6

26.7.0 <= keycloak < 26.7.2