Red Hat e il progetto Keycloak hanno corretto una vulnerabilità critica che permetteva a un attaccante remoto non autenticato di prendere il controllo di qualsiasi account sfruttando il meccanismo di reset password. Nessun exploit pubblico noto, ma urge aggiornare.
Red Hat e il team Keycloak hanno rilasciato aggiornamenti urgenti per risolvere una vulnerabilità critica nel server open source per la gestione di identità e accessi. Il difetto, identificato come CVE-2026-18963 e valutato 9.1 su 10 nella scala CVSS, consentiva a un attaccante remoto non autenticato di prendere il controllo di qualsiasi account, inclusi quelli amministrativi, sfruttando il flusso di recupero password.
Come funziona l'attacco e quali versioni sono a rischio
La falla risiede in una gestione impropria dello stato all'interno del flusso di autenticazione "reset-credentials". Un attaccante può inviare una richiesta appositamente costruita all'endpoint di reset delle credenziali, forzando la transizione diretta alla fase di aggiornamento password senza necessità del token normalmente inviato via email. Questo permette il reset della password di qualsiasi utente, anche senza interazione da parte della vittima.
Le versioni vulnerabili sono state corrette con Keycloak 26.7.2 (rilasciato il 19 agosto 2026) per la versione upstream, mentre per Red Hat build of Keycloak (RHBK) sono disponibili le patch per le release 26.4.15 e 26.6.6. Red Hat ha pubblicato quattro errata il 18 agosto 2026, coprendo sia i pacchetti standalone sia le immagini container delle due principali stream RHBK.
Impatto, mitigazioni e incertezze residue
Non risultano, al 24 agosto 2026, segnalazioni di exploit attivi o proof-of-concept pubblici. Tuttavia, la criticità della falla impone un aggiornamento immediato. Per chi non può aggiornare subito, Red Hat consiglia di disabilitare la funzione "Forgot password" in tutte le realm tramite la console di amministrazione, applicando la modifica a ogni singola realm.
La vulnerabilità è stata classificata come "meccanismo di recupero password debole" (CWE-640). Il bug report di Red Hat sottolinea che la falla permette il takeover completo di qualsiasi account, senza limiti di privilegi. Non è chiaro se tutte le configurazioni del flusso di reset siano vulnerabili o solo alcune specifiche.
Altri dettagli e contesto sulla sicurezza Keycloak
Il rilascio Keycloak 26.7.2 ha risolto anche altre vulnerabilità, tra cui CVE-2026-15571, che consentiva il takeover tramite un hash prevedibile nel collegamento account via OpenID Connect. Due settimane prima, la versione 26.7.1 aveva già corretto dodici CVE, tra cui una falla SAML che aggirava restrizioni di login e una policy di registrazione client che permetteva la falsificazione di ruoli.
Red Hat ha attribuito la segnalazione della falla a James Paremain. Univention, in una nota del 20 agosto, ha dichiarato che le sue installazioni Keycloak "Nubus" non sono affette poiché la funzione di recupero password non è attiva di default.
Il tema della sicurezza delle piattaforme di gestione identità è sempre più centrale, come dimostrato anche da altri recenti casi di vulnerabilità critiche che hanno colpito software open source. Un esempio è la recente falla in GitLab, sfruttata subito dopo la pubblicazione, che ha permesso modifiche non autorizzate ai progetti, come raccontato in questo approfondimento su QWERTYmag.
