一、漏洞详情

Keycloak是Red Hat开发的一款开源身份认证和访问管理解决方案，

近日，监测到Keycloak账户接管漏洞（CVE-2026-18963），由于Keycloak密码重置流程中的认证状态管理缺陷，攻击者可利用`tryAnotherWay`参数污染全局认证状态，在重置密码流程中绕过邮箱验证步骤，直接访问密码更新接口，实现对任意已知用户名账户的完全接管。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

26.0.0 <= Keycloak <= 26.0.17

26.1.0 <= Keycloak <= 26.1.5

26.2.0 <= Keycloak <= 26.2.16

26.3.0 <= Keycloak <= 26.3.5

26.4.0 <= Keycloak <= 26.4.14

26.5.0 <= Keycloak <= 26.5.7

26.6.0 <= Keycloak <= 26.6.5

26.7.0 <= Keycloak <= 26.7.1

三、修复建议

官方已发布安全补丁，请及时更新至安全版本。

Red Hat Build of Keycloak 26.4：升级至26.4.15（RHSA-2026:56519、RHSA-2026:56520）

Red Hat Build of Keycloak 26.6：升级至26.6.6（RHSA-2026:56523、RHSA-2026:56524）