Uma vulnerabilidade crítica descoberta no Keycloak colocou empresas que utilizam a plataforma de gerenciamento de identidades em alerta. A falha permite que um invasor remoto e não autenticado manipule o processo de recuperação de senha e defina novas credenciais para uma conta sem precisar acessar o link de confirmação enviado ao e-mail do usuário.
Identificada como CVE-2026-18963, a vulnerabilidade recebeu classificação CVSS 9,1. O problema está no fluxo reset-credentials, responsável pelo processo de recuperação de credenciais.
O impacto potencial é especialmente grave porque o Keycloak costuma funcionar como uma camada central de autenticação. Uma única identidade pode fornecer acesso a diversos sistemas corporativos, aplicações internas e serviços em nuvem.
Em uma exploração bem-sucedida, até mesmo contas administrativas podem ser tomadas pelo invasor.
O problema está na recuperação de senha
Em condições normais, quando alguém solicita uma redefinição de senha, o sistema envia uma mensagem para o endereço associado à conta.
O usuário precisa acessar o link recebido para provar que possui controle daquele e-mail.
Somente depois dessa verificação deveria ser possível escolher uma nova senha.
A CVE-2026-18963 quebra justamente essa sequência.
Uma validação inadequada do estado da sessão permite que uma solicitação especialmente preparada faça o processo avançar diretamente para a etapa de alteração da senha.
O token enviado por e-mail deixa de ser exigido.
Com isso, o mecanismo criado para recuperar uma conta pode acabar sendo utilizado para sequestrá-la.
Ataque não exige autenticação
Esse é um dos fatores que elevam significativamente a gravidade da vulnerabilidade.
O criminoso não precisa possuir previamente uma conta válida no ambiente.
Também não é necessário convencer a vítima a abrir um documento ou clicar em um link malicioso.
A exploração pode acontecer remotamente e sem interação do usuário.
Isso torna especialmente preocupantes as instalações do Keycloak acessíveis pela internet e com a funcionalidade de recuperação de senha habilitada.
Conta administrativa também pode ser alvo
O comprometimento de uma conta comum já representa um problema sério.
Mas o risco cresce consideravelmente quando a identidade afetada possui privilégios elevados.
A vulnerabilidade pode permitir a redefinição das credenciais de qualquer usuário afetado pelo fluxo vulnerável, incluindo contas administrativas.
Nesse cenário, uma falha no mecanismo de autenticação pode deixar de representar apenas o comprometimento de uma identidade individual.
Dependendo da arquitetura utilizada pela empresa, pode abrir caminho para acesso a diferentes aplicações protegidas pela mesma infraestrutura de identidade.
Keycloak ocupa uma posição estratégica nas empresas
O Keycloak é uma plataforma de código aberto voltada ao gerenciamento de identidade e acesso.
Entre suas funcionalidades estão Single Sign-On (SSO), gerenciamento de usuários, federação de identidades e integração com padrões como OpenID Connect, OAuth 2.0 e SAML.
Isso permite que uma organização centralize o processo de autenticação.
Em vez de cada aplicação manter seu próprio banco de usuários e senhas, diferentes serviços podem delegar essa responsabilidade ao servidor de identidade.
A vantagem é operacional e de segurança.
Mas essa centralização também significa que uma vulnerabilidade crítica na camada de identidade pode ter impacto muito maior.
Keycloak 26.7.2 corrige a vulnerabilidade
O projeto disponibilizou a correção na versão Keycloak 26.7.2, lançada em 19 de agosto.
Clientes que utilizam versões corporativas da Red Hat também receberam atualizações nas linhas afetadas. As versões corrigidas incluem Red Hat Build of Keycloak 26.4.15 e 26.6.6.
Administradores devem priorizar a atualização principalmente quando o servidor pode ser acessado externamente.
Em vulnerabilidades relacionadas à autenticação, o intervalo entre divulgação e aplicação da correção é particularmente importante.
Quem não puder atualizar deve desativar “Forgot password”
Existe uma mitigação temporária para organizações que não conseguem instalar imediatamente a atualização.
A recomendação é desabilitar a funcionalidade “Forgot password” em todos os realms.
No console administrativo, a configuração pode ser encontrada em:
Realm settings → Login → Forgot password → Off
A medida impede temporariamente que usuários realizem a recuperação automática de senha, mas bloqueia o caminho necessário para exploração da vulnerabilidade.
Ela deve ser encarada como solução provisória. A recomendação continua sendo migrar para uma versão corrigida.
Ainda não há evidências de exploração
Até 24 de agosto, não havia evidências públicas confirmadas de exploração da CVE-2026-18963 em ataques reais nem um exploit público verificado localizado para a falha.
Isso não reduz a urgência da atualização.
A divulgação de detalhes técnicos de uma vulnerabilidade crítica pode iniciar uma corrida entre pesquisadores, administradores e criminosos interessados em desenvolver métodos de exploração.
Servidores de identidade expostos à internet são alvos particularmente interessantes porque podem fornecer acesso legítimo a outros sistemas.
Identidade virou uma das principais fronteiras da cibersegurança
O episódio demonstra por que plataformas de IAM precisam ser tratadas como infraestrutura crítica.
Durante muito tempo, grande parte da estratégia de segurança corporativa esteve concentrada na rede: firewalls, segmentação e proteção dos servidores.
A computação em nuvem e o trabalho remoto modificaram esse cenário.
Hoje, muitas aplicações podem ser acessadas diretamente pela internet.
A pergunta deixou de ser apenas “de onde essa pessoa está acessando?” e passou a ser “quem é essa pessoa?”.
Por isso, comprometer o sistema responsável por responder essa pergunta pode ser extremamente poderoso.
Uma falha no login pode comprometer muito mais que uma senha
A CVE-2026-18963 também mostra como uma vulnerabilidade aparentemente localizada em uma funcionalidade simples pode produzir consequências muito maiores.
“Esqueci minha senha” parece apenas um recurso auxiliar.
Na prática, ele faz parte do processo de autenticação e precisa oferecer garantias equivalentes às do login tradicional.
Se um invasor consegue convencer o sistema de que concluiu uma etapa de verificação que nunca aconteceu, toda a segurança construída ao redor da senha pode perder seu valor.
No caso do Keycloak, a consequência pode ser o controle completo da identidade da vítima.
Para organizações que utilizam a plataforma, a prioridade é clara: verificar imediatamente as versões implantadas, atualizar os ambientes afetados e, quando isso ainda não for possível, desabilitar temporariamente a recuperação de senha.
