Red Hatは、同社のBuild of Keycloakアイデンティティ・アクセス管理プラットフォームに深刻な脆弱性が存在することを公表しました。リモートの未認証攻撃者が任意のユーザーアカウントを乗っ取ることが可能になるというものです。
CVE-2026-18963として追跡されているこの欠陥は、パスワードリセットのワークフローにおけるバイパスに起因しており、CVSS v3.1スコアは10点満点中9.1と評価されています。
この脆弱性は、Red Hat Build of Keycloakにおいて認証・アイデンティティ機能の中核エンジンとなるkeycloak-servicesコンポーネントに影響します。
Red Hatによると、攻撃者は任意のアカウントに対して認証情報のリセット処理を発生させ、必須であるはずのメール確認ステップを完了させずに新しいパスワードを設定できるとのことです。これにより攻撃者は、認証情報も事前のアクセス権もユーザーの操作も不要なまま、被害者のアカウントを制御下に置くことが可能になります。
CVE-2026-18963は、Keycloakの認証情報リセット認証フローにおける状態検証の不備に根本原因があります。パスワード復旧の仕組みは通常、アカウントの登録メールアドレス宛てに送信される、有効期限付きの使い捨て確認リンクに依存しています。
このリンクは、パスワード変更を要求している人物が、そのアカウントに紐づくメールボックスを実際に管理していることを証明する役割を持ちます。しかし脆弱性の影響を受けるRed Hat Build Keycloakの導入環境では、この検証を完了しなくてもパスワードリセット処理を強制的に先に進めることができてしまいます。
Red Hatはこの問題を、不正アクセスや成りすましを許してしまう復旧フローを対象とする脆弱性カテゴリーであるCWE-640「脆弱なパスワード復旧メカニズム(Weak Password Recovery Mechanism for Forgotten Password)」に分類しています。
この脆弱性のCVSSベクターはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nであり、ネットワーク経由で悪用可能、攻撃条件の複雑さは低く、権限もユーザー操作も不要であることを示しています。
主な影響は、機密性と完全性の重大な喪失です。Keycloakアカウントが侵害されると、アプリケーションデータが露出するおそれがあるだけでなく、攻撃者が影響を受けるIDプロバイダーによって保護されている各種サービスにおいて被害者になりすますことも可能になります。
Red Hatは2026年8月17日にアドバイザリを公開し、8月18日に修正版をリリースしました。修正済みのスタンドアロン版には、Red Hat Build of Keycloak 26.4.15および26.6.6が含まれます。26.4系および26.6系向けに、更新済みのコンテナイメージとオペレーターコンポーネントも提供されています。
Red Hatは、明示的に「影響なし」と特定されていない限り、対象製品のマイナーアップデート系列に含まれる従来のパッケージは脆弱であると想定すべきだと注意を促しています。
また同社のVEXデータによると、Red Hat Single Sign-On 7には脆弱なコードは含まれておらず、Red Hat JBoss Enterprise Application Platform Expansion Packには該当する脆弱なコンポーネント自体が存在しないとのことです。
組織は、スタンドアロン導入環境、OpenShiftでホストされているインスタンス、オペレーター管理下のクラスターを含め、影響を受けるKeycloak環境を優先的にアップグレードすべきです。
ベンダーの26.4.15版のエラータでは、CVE-2026-18963を未認証のアカウント乗っ取り問題として明記しており、更新済みのイメージおよびパッケージで修正済みとしています。
直ちにアップグレードできない場合、管理者は一時的な措置として、すべてのKeycloakレルムでパスワード復旧機能を無効化できます。
Realm settings → Login → Forgot password → Off
したがってセキュリティチームは、これをあくまで短期的な対策として扱い、想定外の認証情報変更やパスワードリセットの動きを監視した上で、修正版を導入した後にのみこの機能を復元すべきです。
不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、貴社のセキュリティチームに。ANY.RUNで調査力を強化する
翻訳元: https://cyberpress.org/red-hat-keycloak-password-reset-flaw/
