CVE-2026-18963 là một lỗ hổng bảo mật nghiêm trọng trong Keycloak, nền tảng Identity and Access Management (IAM) mã nguồn mở được sử dụng để quản lý đăng nhập, xác thực và phân quyền cho các ứng dụng doanh nghiệp.
Lỗ hổng nằm trong reset-credentials flow của thành phần keycloak-services, cho phép kẻ tấn công chưa xác thực vượt qua bước xác minh email trong quy trình khôi phục mật khẩu.
Trong kịch bản khai thác thành công, attacker có thể trực tiếp thiết lập thông tin xác thực mới và chiếm quyền kiểm soát tài khoản mục tiêu, bao gồm cả những tài khoản có quyền quản trị cao.
Red Hat đánh giá CVE-2026-18963 ở mức Critical, với CVSS 3.1: 9.1. Vector CVSS là:
text
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Điều này cho thấy cuộc tấn công có thể thực hiện qua mạng, độ phức tạp thấp, không yêu cầu quyền truy cập trước và không cần nạn nhân tương tác.
CVE-2026-18963 là gì?
CVE-2026-18963 là lỗ hổng trong cơ chế password recovery / reset credentials của Keycloak.
Thông thường, quy trình quên mật khẩu hoạt động theo mô hình:
text
User ──► Forgot Password ──► Keycloak ──► Generate reset request ──► Email ──► Verification link ──► User clicks ──► Password Reset
Bước xác minh email đóng vai trò chứng minh người yêu cầu thực sự có quyền truy cập vào email. Tuy nhiên, CVE-2026-18963 xuất phát từ việc Keycloak kiểm tra trạng thái của reset-credentials flow không đúng cách (improper state validation), khiến attacker có thể vượt qua bước xác minh này.
Vì sao lỗ hổng này lại nguy hiểm?
Đây không phải là một lỗi rò rỉ thông tin thông thường. Điểm nguy hiểm nằm ở khả năng Account Takeover – chiếm quyền tài khoản.
Kịch bản tấn công:
text
Attacker ──► Password Recovery ──► Keycloak ──► Reset Flow Bypass ──► Email Verification Bypassed ──► Set New Credentials ──► Victim Account Taken Over
Nếu tài khoản bị chiếm có quyền cao (Admin), attacker có thể xâm nhập sâu vào các ứng dụng, Database, Internal API và toàn bộ hệ thống doanh nghiệp.
Thông tin nhanh về CVE-2026-18963
Thuộc tính Thông tin
CVE CVE-2026-18963
Sản phẩm Keycloak (keycloak-services)
Loại lỗi Authentication / Password Recovery Bypass
CWE CWE-640 (Weak Password Recovery Mechanism)
Mức độ Critical
CVSS 3.1 9.1
Tác động chính Account Takeover (Chiếm quyền tài khoản)
Vì sao MFA vẫn có thể bị ảnh hưởng?
MFA bảo vệ rất tốt cho luồng đăng nhập (/login). Tuy nhiên, CVE-2026-18963 khai thác luồng khôi phục mật khẩu (Password Recovery). Nếu attacker bypass được xác minh email và đổi mật khẩu thành công, họ có thể sử dụng thông tin đăng nhập mới này. Do đó, có MFA không đồng nghĩa với việc bạn an toàn trước lỗ hổng này.
Phiên bản nào bị ảnh hưởng?
Thông tin từ Red Hat cho thấy các nhánh Red Hat Build of Keycloak 26.4 và 26.6 có các bản cập nhật tương ứng:
Bản vá an toàn: 26.4.15 và 26.6.6. Với môi trường sử dụng Keycloak upstream hoặc Docker image (quay.io/keycloak/keycloak), quản trị viên cần đối chiếu kỹ với advisory của nhà cung cấp.
Cách khắc phục và Xử lý
1. Ưu tiên nâng cấp Keycloak
Cập nhật hệ thống lên phiên bản đã được nhà cung cấp vá lỗi (ví dụ: 26.4.15 hoặc 26.6.6).
2. Biện pháp tạm thời: Tắt "Forgot Password"
Nếu chưa thể nâng cấp, hãy tắt chức năng khôi phục mật khẩu trên tất cả các realm: Keycloak Admin Console → Realm settings → Login → Tắt Forgot password.
3. Rà soát và Kiểm tra Log
Kiểm tra các sự kiện (Events) trong hệ thống để tìm dấu hiệu bị khai thác:
Password Reset từ IP bất thường.
Thay đổi Credentials, Email hoặc Role/Group đáng ngờ.
Các tài khoản Admin mới được tạo.
Bài học bảo mật: Password recovery cũng là một luồng xác thực cực kỳ quan trọng (security-critical flow). Một hệ thống có mật khẩu mạnh, MFA tốt nhưng có cơ chế reset mật khẩu yếu vẫn sẽ là mục tiêu của các cuộc tấn công chiếm quyền.
