Falha crítica no Keycloak permite assumir contas sem autenticação durante a redefinição de senha
A Red Hat e o projeto Keycloak disponibilizaram atualizações de segurança para corrigir uma vulnerabilidade crítica no servidor open source de gerenciamento de identidade e acesso. O problema pode permitir que um invasor remoto, sem qualquer autenticação prévia, assuma contas de usuários ao explorar o fluxo de recuperação de senha.
Registrada como CVE-2026-18963, a falha recebeu pontuação 9,1 no CVSS, classificação considerada crítica. A Red Hat associou o problema à categoria CWE-640, relacionada a mecanismos frágeis de recuperação de senhas esquecidas.
A versão corrigida do projeto upstream é o Keycloak 26.7.2, publicada em 19 de agosto de 2026. Organizações que utilizam o Red Hat build of Keycloak (RHBK) devem aplicar as correções correspondentes às versões 26.4.15 ou 26.6.6, conforme a edição instalada.
Até 24 de agosto, não havia indicação de exploração da vulnerabilidade em ataques reais nem de um exploit público confirmado. Isso, porém, não elimina o risco, principalmente porque o defeito pode afetar contas comuns e também perfis administrativos.
Falha contorna a validação do processo de recuperação
O problema está relacionado a uma verificação inadequada do estado da sessão no fluxo denominado reset-credentials. Esse procedimento é acionado quando alguém solicita a recuperação de uma senha esquecida.
Em condições normais, o Keycloak envia ao usuário um token, geralmente por e-mail. Somente após a validação desse código ou link o sistema permite que uma nova senha seja cadastrada. A CVE-2026-18963 torna possível manipular uma requisição direcionada ao endpoint de recuperação para fazer a sessão avançar diretamente à etapa de alteração da senha.
Na prática, o atacante pode tentar pular a confirmação de identidade e definir uma senha própria para a conta escolhida. Se a operação for concluída, o invasor passa a controlar o perfil comprometido sem que o proprietário legítimo precise interagir ou aprovar a ação.
A vulnerabilidade pode atingir qualquer usuário, inclusive administradores. Como o Keycloak costuma funcionar como ponto central de autenticação para diferentes aplicações, serviços e APIs, o impacto não se limita ao painel de login: o invasor pode obter acesso a todos os recursos vinculados às permissões daquela identidade.
Atualizações disponibilizadas pela Red Hat
A Red Hat publicou quatro avisos de segurança em 18 de agosto: RHSA-2026:56519, RHSA-2026:56520, RHSA-2026:56523 e RHSA-2026:56524. Os comunicados abrangem pacotes do servidor independente e imagens de contêiner relacionadas às versões afetadas do RHBK.
No RHBK 26.4, a correção está incluída a partir do operator bundle 26.4.15-1. As imagens `rhbk/keycloak-rhel9` e `rhbk/keycloak-rhel9-operator` foram atualizadas na versão 26.4-23.
Para o RHBK 26.6, o patch está disponível no operator bundle 26.6.6-1. As imagens de contêiner do Keycloak e do operador incorporam a correção a partir da versão 26.6-12.
No projeto principal, a recomendação é atualizar diretamente para o Keycloak 26.7.2. A instalação deve ser planejada de acordo com o método de implantação utilizado, incluindo máquinas virtuais, contêineres, Kubernetes e operadores.
Desativar a recuperação de senha é apenas uma medida provisória
Empresas que não conseguem atualizar imediatamente podem reduzir a exposição desativando temporariamente a função Forgot password. No console administrativo do RHBK, a configuração está em:
Realm settings → Login → Forgot password
A alteração precisa ser aplicada separadamente em cada realm. Desativar o recurso impede o uso do fluxo vulnerável, mas também remove a capacidade de usuários recuperarem senhas esquecidas de forma automática.
Por esse motivo, a medida deve ser encarada apenas como contenção emergencial. Assim que possível, a organização deve instalar uma versão corrigida, reativar a funcionalidade e validar se o fluxo de recuperação voltou a operar corretamente.
O que os administradores devem verificar
Além da atualização, é importante revisar os registros de autenticação e recuperação de contas. Equipes de segurança devem procurar solicitações incomuns de redefinição de senha, mudanças inesperadas em credenciais, acessos originados de endereços IP atípicos e alterações em contas privilegiadas.
Também é recomendável identificar quais realms utilizam a recuperação de senha, quais aplicações dependem deles e quais perfis possuem acesso administrativo. A prioridade deve ser dada às instâncias expostas à internet e aos ambientes que protegem sistemas críticos.
Após a aplicação do patch, os administradores podem considerar a rotação de senhas de contas privilegiadas, a revogação de sessões ativas e a invalidação de tokens potencialmente expostos. Essas ações não substituem a atualização, mas ajudam a reduzir o impacto caso a falha tenha sido explorada antes da correção.
Outras correções incluídas no Keycloak 26.7.2
A CVE-2026-18963 faz parte de um conjunto de oito vulnerabilidades corrigidas no Keycloak 26.7.2. A mesma versão solucionou a CVE-2026-15571, ligada ao uso de um hash previsível no processo de vinculação de contas. Nesse cenário, um cliente OpenID Connect malicioso poderia contribuir para o comprometimento de contas.
Anteriormente, em 5 de agosto, o Keycloak 26.7.1 havia corrigido outras 12 CVEs. Entre elas estavam uma falha envolvendo logins iniciados por um provedor de identidade SAML e um problema na política padrão de registro dinâmico de clientes, capaz de permitir falsificação de funções por meio de mapeadores de propriedades de usuários.
A sequência de atualizações reforça a importância de manter o Keycloak em um ciclo regular de manutenção. Como a plataforma centraliza autenticação, uma vulnerabilidade aparentemente restrita a um fluxo específico pode afetar diversos sistemas dependentes.
Situação de produtos relacionados
As informações sobre algumas plataformas associadas permanecem inconsistentes. O registro inicial da CVE indicava o Red Hat Single Sign-On 7 como não afetado e apontava o Red Hat JBoss Enterprise Application Platform Expansion Pack como afetado. Uma revisão posterior alterou essa relação, mas os dados publicados não esclarecem de forma definitiva o status atual desses produtos.
Também não está totalmente definido se todos os realms com recuperação de senha ativada são exploráveis ou se o ataque depende de configurações específicas no fluxo `reset-credentials`. Até que haja uma avaliação mais precisa, a abordagem mais segura é considerar vulneráveis as instalações afetadas que mantenham o recurso habilitado.
A Univention informou separadamente que sua plataforma Nubus não é afetada pela CVE-2026-18963, pois a recuperação de senha não está habilitada em suas implementações. Ainda assim, administradores devem confirmar o comportamento de seus próprios ambientes, já que configurações personalizadas podem alterar a exposição.
A recomendação principal permanece a mesma: atualizar o Keycloak ou o RHBK para uma versão corrigida, desabilitar temporariamente a recuperação de senha quando o patch não puder ser instalado de imediato e revisar os eventos de autenticação em busca de sinais de abuso.