漏洞概述 | |||
漏洞名称 | Keycloak 账户接管漏洞 | ||
漏洞编号 | QVD-2026-54563，CVE-2026-18963 | ||
公开时间 | 2026-08-12 | 影响量级 | 十万级 |
奇安信评级 | 高危 | CVSS 3.1分数 | 9.1 |
威胁类型 | 认证绕过 | 利用可能性 | 高 |
POC状态 | 已公开 | 在野利用状态 | 未发现 |
EXP状态 | 已公开 | 技术细节状态 | 已公开 |
危害描述：攻击成功后，攻击者可以控制包括管理员在内的任意账户，访问受 Keycloak 保护的所有应用系统和资源，获取敏感业务数据、用户个人信息、系统配置等机密信息，并可利用被接管的账户进行横向移动和权限提升，对组织的身份认证体系造成严重破坏，导致大规模数据泄露、业务系统瘫痪、供应链攻击等严重安全事件。 | |||
01
漏洞详情
>>>>
影响组件
Keycloak 是 Red Hat 开发的一款开源身份认证和访问管理解决方案，支持单点登录(SSO)、OAuth 2.0、OpenID Connect 等标准协议。该产品广泛应用于企业级应用的用户认证、授权管理和身份联合场景，为 Web 应用、移动应用和 RESTful API 提供安全的身份管理服务。
>>>>
漏洞描述
近日，奇安信CERT监测到官方修复Keycloak 账户接管漏洞(CVE-2026-18963)，该漏洞源于 Keycloak 密码重置流程中的认证状态管理缺陷，攻击者可利用 `tryAnotherWay` 参数污染全局认证状态，在重置密码流程中绕过邮箱验证步骤，直接访问密码更新接口，实现对任意已知用户名账户的完全接管。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
>>>>
利用条件
1.目标 Keycloak 实例启用了"忘记密码"功能；
2.攻击者知道目标用户名。
02
影响范围
>>>>
影响版本
26.0.0 <= Keycloak <= 26.0.17
26.1.0 <= Keycloak <= 26.1.5
26.2.0 <= Keycloak <= 26.2.16
26.3.0 <= Keycloak <= 26.3.5
26.4.0 <= Keycloak <= 26.4.14
26.5.0 <= Keycloak <= 26.5.7
26.6.0 <= Keycloak <= 26.6.5
26.7.0 <= Keycloak <= 26.7.1
>>>>
其他受影响组件
无
03
复现情况
目前，奇安信CERT已成功复现Keycloak 账户接管漏洞(CVE-2026-18963)，截图如下：
04
受影响资产情况
奇安信鹰图资产测绘平台数据显示，Keycloak 账户接管漏洞(CVE-2026-18963)关联的国内风险资产总数为34274个，关联IP总数为1755个。国内风险资产分布情况如下：
Keycloak 账户接管漏洞(CVE-2026-18963)关联的全球风险资产总数为389582个，关联IP总数为23311个。全球风险资产分布情况如下：
05
处置建议
>>>>
安全更新
官方已发布安全补丁，请及时更新至最新版本：
上游 Keycloak 社区版：升级至 26.7.2 或更高版本。
Red Hat Build of Keycloak 26.4：升级至26.4.15（RHSA-2026:56519、RHSA-2026:56520）。
Red Hat Build of Keycloak 26.6：升级至26.6.6（RHSA-2026:56523、RHSA-2026:56524）。
升级后验证重置流程是否正常。
下载地址：
https://www.keycloak.org/downloads
临时缓解措施：
1. 禁用"忘记密码"功能；
2. 网络层防护：在 WAF 或防火墙上设置规则，检测和阻止针对密码重置接口的异常请求序列；
3. 启用多因素认证（MFA）为所有用户，特别是管理员账户启用多因素认证，即使密码被重置，攻击者仍需第二因素才能登录。
06
参考资料
[1]https://access.redhat.com/security/cve/CVE-2026-18963
[2]https://github.com/keycloak/keycloak/issues/51833
声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
