Contournement d'authentification affectant Keycloak
Une vulnérabilité affectant Keycloak permettrait à un acteur malveillant non authentifié de forcer la réinitialisation du mot de passe de n'importe quel utilisateur et de prendre le contrôle total du compte ciblé.
Description
Contexte technique et détails de la vulnérabilité
Keycloak est une solution open source de gestion des identités et des accès (IAM), largement utilisée pour centraliser l'authentification de plusieurs applications derrière un fournisseur d'identité unique. Cet outil est affecté par une vulnérabilité libellée CVE-2026-18963, résultant d'un défaut dans le parcours de réinitialisation du mot de passe (reset-credentials) du composant keycloak-services. Ce défaut amène le serveur à considérer à tort l'étape de validation de l'adresse électronique comme effectuée, alors qu'elle ne l'a jamais été. Son exploitation permettrait à un attaquant non authentifié de forcer la réinitialisation du mot de passe de n'importe quel utilisateur, sans avoir à cliquer sur le lien de vérification envoyé par courriel, et de définir directement de nouveaux identifiants. Elle est classée critique avec un score de sévérité de 9.1 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Prise de contrôle totale des comptes utilisateurs ;
- Contournement de la vérification de l'adresse électronique lors de la réinitialisation du mot de passe ;
- Atteinte à la confidentialité, à l'intégrité et à la disponibilité des données.
Systèmes affectés
Produits, composants et versions concernés
- Keycloak versions antérieures à 26.7.2, 26.6.6 et 26.4.15 selon la branche utilisée.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Keycloak vers la version 26.7.2, 26.6.6 ou 26.4.15 selon la branche utilisée. À défaut, désactiver temporairement la fonctionnalité de réinitialisation du mot de passe dans tous les realms.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.