CVE-2026-18963 jest krytycznym błędem w reset-credentials flow Keycloak. Nieuwierzytelniony attacker może wymusić proces resetu hasła dla dowolnego użytkownika bez kliknięcia wymaganej wiadomości e-mail i ustawić nowe credentials. Skutek to pełne przejęcie konta, również kont administracyjnych.
Mitigation prosty technicznie, drogi biznesowo
Wyłączenie funkcji to prosty control. Operacyjnie oznacza utratę self-service password recovery. To ważny problem VM: security risk reduced ≠ business impact zero. Dojrzały proces powinien tę cenę śledzić — bo „skuteczna mitygacja” bywa odrzucana przez biznes właśnie z powodu kosztu operacyjnego.
Każdy realm osobno
W Keycloak konfiguracja jest realm-specific, więc „wyłączyliśmy forgot password” nie jest wystarczającym evidence. Trzeba zweryfikować wszystkie realmy, nowe realmy tworzone po wdrożeniu kontroli, konfigurację operatora/Helm/GitOps i drift. Dobry compensating control powinien być machine-verifiable.
Patch vs mitigation
Wyłączenie resetu usuwa podatny attack path, ale nie naprawia root cause — status powinien być Mitigated, a nie Remediated. Po wdrożeniu fixed version funkcję można bezpiecznie przywrócić. A czy CVSS 9.1 wystarcza do emergency? Warunki techniczne są mocne (Network, no priv, no UI, account takeover), ale lokalny priorytet zależy od tego, czy forgot-password jest aktywne, czy publiczny login jest wystawiony, ilu jest realmów i kont administracyjnych, oraz od federacji. Jeśli funkcja jest wyłączona od zawsze, exploitability może być zerowa mimo obecności podatnego kodu.
Remediation verification
Po aktualizacji warto przeprowadzić negatywny test reset flow i potwierdzić, że przejęcie procesu bez wymaganej weryfikacji nie jest możliwe. Jeżeli stosowano mitigation, trzeba też kontrolowanie przywrócić funkcję i sprawdzić poprawne działanie mail verification.
Wniosek
CVE-2026-18963 pokazuje, że compensating control może być skuteczny technicznie, ale kosztowny operacyjnie. VM powinien potrafić śledzić nie tylko redukcję ryzyka, ale też business cost of mitigation — inaczej „zalecana mitygacja” i „mitygacja wykonalna” rozjadą się w praktyce.
Powiązane na blogu
- Keycloak: CVE tylko przy niebezpiecznej konfiguracji — status zależny od konfiguracji
- Kaltura: mitigation ≠ remediation — kontrola ze zakresem i kosztem
Źródła
- Red Hat — CVE-2026-18963 — access.redhat.com
- GitHub Advisory — GHSA-4gv3-mc9p-5wqc — github.com/advisories
- INCIBE-CERT — CVE-2026-18963 — incibe.es
Nota redakcyjna: stan informacji 2 września 2026. CVE-2026-18963 (CVSS 9.1) w reset-credentials flow Keycloak umożliwia unauthenticated account takeover; Red Hat rekomenduje tymczasowe wyłączenie „Forgot password” we wszystkich realmach. Artykuł koncentruje się na koszcie operacyjnym mitygacji i weryfikacji per-realm.