Kritische Keycloak-Lücke ermöglicht komplette Kontoübernahme : CVE-2026-18963 umgeht die E-Mail-Prüfung beim Passwort-Reset – auch Admin-Konten sind gefährdet
Eine kritische Schwachstelle in Keycloak erlaubt Angreifern, Passwörter beliebiger Konten ohne Anmeldung und ohne Zugriff auf das E-Mail-Postfach zurückzusetzen. Betroffen ist ausgerechnet der Wiederherstellungsprozess für vergessene Passwörter. Administratoren sollten deshalb umgehend aktualisieren.
Die Schwachstelle CVE-2026-18963 erreicht nach Bewertung von Red Hat 9,1 von 10 Punkten im Common Vulnerability Scoring System (CVSS). Ursache ist eine fehlerhafte Zustandsprüfung innerhalb des Reset-Credentials-Ablaufs von Keycloak. Ein entfernter Angreifer benötigt weder Zugangsdaten noch eine Interaktion des Opfers. Red Hat warnt, dass sich damit jedes Benutzerkonto übernehmen lässt – ausdrücklich auch administrative Konten.
Passwort-Reset springt direkt zur Kennwortänderung
Normalerweise prüft Keycloak beim Zurücksetzen eines Passworts, ob die Anfrage wirklich vom Kontoinhaber stammt. Dazu verschickt das System einen speziellen Link per E-Mail. Dieser enthält einen einmalig gültigen Action Token. Erst wenn der Nutzer den Link aufruft und damit den Token vorlegt, darf er ein neues Passwort setzen. CVE-2026-18963 durchbricht genau diese Kontrolle. Laut Red Hat kann ein speziell präparierter Request an den Reset-Credentials-Endpunkt den Zustand der Authentifizierungssitzung so verändern, dass sie direkt zur Passwortänderung wechselt. Der normalerweise per E-Mail übermittelte Action Token wird dabei nicht mehr verlangt.
Durch die Schwachstelle kann ein Angreifer das Passwort eines fremden Kontos selbst ändern. Danach meldet er sich mit dem neuen Passwort ganz normal an und tritt gegenüber Keycloak als legitimer Benutzer auf. Besonders gefährlich ist das bei Administratorenkonten: Der Keycloak Identity-and-Access-Management-Server dient oft als zentrale Anmeldung für viele Anwendungen und Dienste. Wer dort ein privilegiertes Konto übernimmt, kann deshalb oft auch auf zahlreiche nachgelagerte Systeme zugreifen.
Diese Versionen schließen die Lücke
Das Keycloak-Projekt hat die Schwachstelle mit Keycloak 26.7.2 vom 19. August 2026 behoben. Red Hat veröffentlichte bereits am 18. August vier Security Advisories für seine kommerziellen Keycloak-Varianten.
Die korrigierten Versionen und Images sind:
- Red Hat build of Keycloak 26.4: Operator Bundle 26.4.15-1 sowie rhbk/keycloak-rhel9 und rhbk/keycloak-rhel9-operator 26.4-23
- Red Hat build of Keycloak 26.6: Operator Bundle 26.6.6-1 sowie keycloak-rhel9 und Operator-Container 26.6-12
- Upstream Keycloak: 26.7.2
Die Red-Hat-Advisories RHSA-2026:56519, RHSA-2026:56520, RHSA-2026:56523 und RHSA-2026:56524 decken sowohl Standalone-Pakete als auch Container-Images ab. Die GitHub-Sicherheitsmeldung nennt derzeit weder eindeutig, welche Versionen betroffen sind, noch ab welcher Version die Lücke behoben ist. Auch der CVE-Eintrag hilft nur begrenzt weiter, weil dort ausschließlich Red-Hat-Produkte aufgeführt werden.
Zusätzlich haben sich die Angaben im Laufe der Zeit geändert: Zunächst galt Red Hat Single Sign-On 7 als nicht betroffen, während das Red Hat JBoss Enterprise Application Platform Expansion Pack als betroffen eingestuft wurde. Später wurde die Produktliste überarbeitet. Deshalb ist momentan nicht eindeutig dokumentiert, ob und in welchem Umfang diese beiden Produkte betroffen sind.
Passwort-Wiederherstellung notfalls abschalten
Falls sich das Update nicht sofort einspielen lässt, empfiehlt Red Hat eine Übergangslösung: Die Funktion „Forgot password“ muss in sämtlichen Realms deaktiviert werden. In der Administrationsoberfläche des Red Hat build of Keycloak befindet sich die Einstellung unter „Realm settings“, „Login“ und anschließend „Forgot password“. Die Maßnahme verhindert die verwundbare Passwortwiederherstellung, ersetzt das Update aber nicht.
Ob jede Installation mit aktivierter Passwort-Wiederherstellung unmittelbar angreifbar ist oder nur bestimmte Konfigurationen des Reset-Credentials-Flows, geht aus den veröffentlichten Informationen bislang nicht eindeutig hervor. Ebenso liegt mit Stand 24. August 2026 kein bestätigter öffentlicher Exploit und kein Hinweis auf aktive Ausnutzung vor.
Nicht die einzige Kontoübernahme in 26.7.2
CVE-2026-18963 ist eine von acht Sicherheitslücken, die Keycloak in Version 26.7.2 aufführt. Darunter befindet sich auch CVE-2026-15571: Ein vorhersehbarer Hash beim Verknüpfen von Konten kann über einen bösartigen OpenID-Connect-Client (OIDC) ebenfalls zur Kontoübernahme führen. Bereits Keycloak 26.7.1 hatte zwölf CVEs beseitigt. Zwei davon betrafen die Anmeldung und Rechtevergabe: Eine Lücke erlaubte es, Schutzmechanismen bei SAML-Anmeldungen zu umgehen. Eine weitere konnte dazu führen, dass ein Client sich über fehlerhafte Zuordnungen unberechtigt Rollen und damit zusätzliche Rechte verschafft. Univention teilte am 20. August 2026 mit, dass Nubus von CVE-2026-18963 nicht betroffen sei. Dort ist die Funktion zum Zurücksetzen vergessener Passwörter in Keycloak nicht aktiviert – und damit genau der verwundbare Ablauf abgeschaltet.
Die Häufung solcher Lücken zeigt, wie sicherheitskritisch zentrale Identity-Systeme sind: Eine Schwachstelle in diesem Bereich betrifft nicht nur eine einzelne Anwendung, sondern kann die Vertrauensbasis für zahlreiche nachgelagerte Dienste aushebeln. Betreiber sollten deshalb nicht auf weitere technische Details oder einen öffentlichen Exploit warten. Upstream-Installationen sollten auf 26.7.2, Red-Hat-Systeme mindestens auf 26.4.15 beziehungsweise 26.6.6 aktualisiert werden.
FAQ: CVE-2026-18963 und Keycloak
Was ist CVE-2026-18963?
CVE-2026-18963 ist eine kritische Schwachstelle im Passwort-Reset-Prozess von Keycloak. Die Lücke ermöglicht es nicht authentifizierten Angreifern, die normalerweise erforderliche E-Mail-Prüfung zu umgehen und das Passwort eines fremden Benutzerkontos zu ändern.
Können Angreifer auch Keycloak-Administratorkonten übernehmen?
Ja. Die Schwachstelle kann potenziell jedes Benutzerkonto betreffen, einschließlich privilegierter Administratorkonten. Die Übernahme eines solchen Kontos kann den Zugriff auf zahlreiche angebundene Anwendungen und Dienste ermöglichen.
Benötigt ein Angreifer Zugriff auf das E-Mail-Postfach des Opfers?
Nein. Bei einem manipulierten Request an den Reset-Credentials-Endpunkt wird der normalerweise per E-Mail übermittelte, einmalig gültige Action Token nicht mehr zwingend verlangt. Dadurch kann der Angreifer direkt zum Setzen eines neuen Passworts gelangen.
Welche Keycloak-Version behebt CVE-2026-18963?
Für Upstream Keycloak ist die Schwachstelle ab Version 26.7.2 behoben. Für den Red Hat build of Keycloak gelten je nach Produktvariante und Bereitstellungsart die korrigierten Versionen 26.4.15-1 beziehungsweise 26.4-23 sowie 26.6.6-1 beziehungsweise 26.6-12.
Was tun, wenn das Update nicht sofort möglich ist?
Die Funktion „Forgot password“ sollte vorübergehend in allen betroffenen Realms deaktiviert werden. Diese Maßnahme schaltet den verwundbaren Passwort-Wiederherstellungsweg ab, ersetzt aber nicht das Update auf eine korrigierte Version.