Vulnerabilidade Crítica no Keycloak Permite Tomada Total de Contas

Uma falha crítica no Keycloak, identificada como CVE-2026-18963 e com um CVSS de 9.1, permite a um atacante não autenticado tomar controle total de qualquer conta de usuário. O problema reside na validação inadequada de estado durante o fluxo de redefinição de senha, conhecido como reset-credentials. Normalmente, esse processo requer um token enviado por e-mail para confirmar a identidade do usuário. Com esta vulnerabilidade, um atacante pode enviar uma requisição maliciosa que move a sessão de autenticação diretamente para a fase de atualização da senha, ignorando a necessidade do token de e-mail.

Isso significa que a proteção essencial de verificação de e-mail é completamente bypassada. O resultado é que o atacante pode alterar a senha de qualquer conta, incluindo administradores, e obter controle total sobre ela. O Keycloak, sendo uma solução de gerenciamento de identidade e acesso (IAM) amplamente utilizada, se torna um ponto de entrada para outros sistemas protegidos por ele, amplificando o risco. A Red Hat, que atua como autoridade de numeração CVE para esta falha, confirmou que as versões afetadas precisam de atualização urgente.

Essa vulnerabilidade é extremamente grave porque o Keycloak é o pilar de autenticação e autorização para muitas aplicações e serviços, tanto em empresas quanto em infraestruturas digitais. Um ataque bem-sucedido pode levar a um comprometimento massivo de dados e sistemas, já que a falha permite a tomada de conta de qualquer usuário sem autenticação prévia. Imagine um atacante ganhando acesso irrestrito a credenciais administrativas que controlam múltiplos serviços: o potencial de dano é enorme.

A gravidade da falha (CVSS 9.1) sublinha a urgência. Embora não haja evidências de exploração ativa até o momento, a capacidade de um atacante não autenticado de executar um controle total de conta por meio de um mecanismo de recuperação de senha fraco (CWE-640) exige uma resposta imediata. Empresas e organizações que usam o Keycloak devem priorizar a aplicação dos patches ou a implementação da mitigação provisória.