Red Hat Keycloak 脆弱性 CVE-2026-18963 が FIX：パスワード・リセットによるアカウント乗っ取りの恐れ

Critical Red Hat Keycloak Password Reset Flaw Enables Unauthenticated Account Takeover

2026/08/25 gbhackers — Red Hat が公表したのは、Red Hat Build of Keycloak に存在する深刻な脆弱性の情報である。この欠陥を悪用する未認証のリモート攻撃者は、パスワード・リセット手順の重要な保護機能を回避して任意のユーザー・アカウントを乗っ取る可能性がある。CVE-2026-18963 (CVSS v3.1：9.1) は、エンタープライズ向け Keycloak 製品群の中核となるアイデンティティ／アクセス管理エンジンである keycloak-services コンポーネントに影響を及ぼし、Red Hat は深刻度を Critical と評価している。

Red Hat Keycloak のパスワード・リセットに存在する深刻な脆弱性

脆弱な reset-credentials フローでは、パスワード・リカバリ時の状態検証が適切に行われない。通常のリセット要求では、新しい認証情報を設定する前に対象ユーザーがメールの検証リンクをたどる必要がある。しかし、この脆弱性を悪用する攻撃者は、検証手順を完了していなくても任意のアカウントに対する手続きを強制的に進め、新しいパスワードを直接設定して標的アカウントへの完全なアクセスを取得できると、Red Hat は述べている。

この脆弱性は、ネットワークから攻撃可能で、攻撃の複雑性が低く、権限もユーザー操作も必要としないことから特に深刻である。そのため、インターネットに公開された Keycloak 環境では修正プログラム適用の優先度を高める必要があり、特に従業員向けアプリケーション／管理コンソール／顧客向けサービス／シングル・サインオン環境へのアクセスなどを Keycloak が仲介している場合は、優先して対応すべきである。

Red Hat によると、悪用に成功した攻撃者により機密性と完全性が損なわれる可能性がある一方、可用性への直接的な影響はない。Red Hat は、この問題の原因を reset-credentials 認証フローにおける不適切な状態検証としており、パスワード・リカバリ・メカニズムの保護が不十分な脆弱性として CWE-640 に分類している。

特権アカウントが侵害された場合には、そのアカウントに付与された権限に応じて、侵入者によるレルム設定の変更／アクセス経路の作成／接続されたアプリケーションへの横展開につながる可能性がある。そのため、組織はパスワード・リセットの活動／異常な認証情報の変更／最近の管理者によるログインを確認し、不正使用の兆候を調査する必要がある。

すでに Red Hat は、2026年8月18日時点で修正をリリースしている。対象は Red Hat Build of Keycloak 26.4／26.4.15／26.6／26.6.6 であり、アドバイザリ RHSA-2026:56519／RHSA-2026:56520／RHSA-2026:56523／RHSA-2026:56524 を通じて修正版が提供されている。

管理者は該当する修正済みパッケージとオペレーターを、可能な限り早く適用する必要がある。直ちにアップグレードできない場合に Red Hat が推奨する回避策は、すべてのレルムで「Realm settings > Login > Forgot password > Off」へ移動し、「Forgot password」機能を無効にすることだ。この回避策によってリスクを軽減できるが、ベンダーによる修正のインストールに代わるものではない。

Red Hat のアドバイザリには、影響を受けるリリース・ストリームについて、オペレーター・バンドル／RHEL 9 ベースの Keycloak パッケージ／OpenShift デプロイ／スタンドアロンの keycloak-services コンポーネントに対応する修正済みビルドが記載されている。また、使用している製品が、アドバイザリに記載されたマイナー・バージョン・ストリームの以前のパッケージ・バージョンであり、完全な分析が行われていない場合には、脆弱なものとして扱うべきだと Red Hat は警告している。

セキュリティ・チームは、レルムを把握し、リカバリ機能が有効であることやパッチ適用済みイメージが稼働していることなどを検証する必要がある。さらに、パスワード・リセット・ワークフローは認証基盤／メール／アプリケーションの境界をまたぐため、悪用が確認された場合は疑わしいセッションを無効化する必要がある。

Red Hat Keycloak の利用環境において、パスワードリセット手順内の状態検証の不備により、認証前の第三者が検証リンクの送信を経由せずに任意アカウントのパスワードを強制変更できる脆弱性 CVE-2026-18963 が判明しました。この問題の影響により、攻撃者によるアカウントの不正乗っ取り／特権アカウント奪取を経由した設定変更／連携アプリケーションへの侵入など、機密性と完全性が深刻な損害を受ける危険性があります。安全な運用に向けた対応策としては、アップデート済みパッケージやオペレーターの即時適用／不可欠な場合のパスワード変更機能の一時的な停止／不審なリセットログやアクティブセッションの点検が求められます。