Red Hat y el proyecto Keycloak han emitido una alerta urgente tras el descubrimiento de una vulnerabilidad crítica en su servidor de gestión de identidades y accesos (IAM) de código abierto. Este fallo, identificado como CVE-2026-18963, podría permitir a un atacante remoto no autenticado tomar el control total de cualquier cuenta de usuario, incluyendo perfiles administrativos, mediante la manipulación del proceso de restablecimiento de contraseñas.
Análisis técnico del CVE-2026-18963
La vulnerabilidad ha sido calificada con una puntuación de 9.1 en el sistema CVSS, lo que subraya su extrema gravedad. Según el reporte técnico de Red Hat, la causa raíz es una «validación de estado incorrecta dentro del flujo de autenticación de restablecimiento de credenciales».
En condiciones normales, cuando un usuario solicita recuperar su contraseña, Keycloak envía un token de acción a través de un correo electrónico para verificar la identidad. Sin embargo, debido a este defecto en la gestión de la sesión, un atacante puede enviar una solicitud específicamente diseñada al endpoint de restablecimiento que fuerza la transición directa a la fase de actualización de contraseña, omitiendo por completo la necesidad del token enviado por email.
Impacto para las organizaciones
Keycloak es una pieza central en la infraestructura de seguridad de muchas empresas, actuando como el guardián de acceso para múltiples aplicaciones y servicios. Un compromiso en este nivel no se limita solo al servidor de identidades; como señalan expertos en seguridad, una vez que un atacante traspasa las fronteras de Keycloak, obtiene acceso potencial a todo lo que se encuentra detrás de él.
El riesgo de Account Takeover (ATO) es total, permitiendo a los atacantes cambiar contraseñas de administradores de sistemas, lo que derivaría en una brecha de datos masiva y la pérdida de control sobre la infraestructura crítica.
Versiones afectadas y medidas de mitigación
Afortunadamente, no hay evidencia de que este fallo haya sido explotado activamente hasta la fecha, pero la disponibilidad de la información técnica hace que el parcheo inmediato sea obligatorio. Las versiones corregidas son:
- Keycloak (Upstream): Actualizar a la versión 26.7.2.
- Red Hat build of Keycloak (RHBK): Aplicar las actualizaciones para las versiones 26.4.15 y 26.6.6.
Mitigación temporal
Para aquellas organizaciones que no puedan aplicar los parches de manera inmediata, Red Hat recomienda una medida de mitigación temporal: desactivar la funcionalidad de «Contraseña olvidada» (Forgot password) en todos los reinos (realms) configurados. Esta opción se encuentra en la consola de administración, bajo la ruta: Realm settings > Login > Forgot password.
Conclusión
Este incidente resalta la importancia de mantener actualizados los sistemas de gestión de identidades. En un entorno empresarial donde el perímetro de seguridad es la identidad, fallos en mecanismos de recuperación de contraseñas (CWE-640) representan una de las rutas de ataque más directas y peligrosas. Desde Intedya, instamos a los responsables de TI y seguridad a auditar sus despliegues de Keycloak y aplicar las correcciones pertinentes de forma prioritaria.
Fuentes
- The Hacker News — Critical Keycloak Password Reset Flaw Could Let Unauthenticated Attackers Take Over Any Account
https://thehackernews.com/2026/08/critical-keycloak-password-reset-flaw.html