Keycloakのパスワード再設定機能に重大な脆弱性、認証なしで任意アカウント乗っ取りの恐れ

要点

• オープンソースの認証・アクセス管理ソフトウェア「Keycloak」に、未認証の遠隔攻撃者が管理者を含むアカウントを乗っ取れる重大な脆弱性（CVE-2026-18963）が判明した。

• 深刻度はCVSSスコア9.1の「Critical」と評価されており、パスワード再設定処理における状態検証の不備に起因している。

• 開発元のRed HatおよびKeycloakプロジェクトは修正版を公開し、即座に更新できない環境向けにパスワード再設定機能の無効化を推奨している。

• 2026年8月24日時点で、本脆弱性が実際に悪用された証拠や公開された実証コード（エクスプロイト）は確認されていない。

• オープンソースのIDおよびアクセス管理（IAM）サーバー「Keycloak」において、パスワード再設定処理を悪用して第三者が任意のアカウントを完全に乗っ取ることができる重大な脆弱性が明らかになった。開発を主導する米Red HatおよびKeycloakプロジェクトは修正パッチを公開し、利用者に向けて速やかなアップデートを呼びかけている。

脆弱性の概要と想定されるリスク

公表された脆弱性は「CVE-2026-18963」として識別されている。CVE採番機関を務めるRed Hatにより、共通脆弱性評価システム（CVSS）のスコアは9.1、深刻度は最高レベルの「Critical（緊急）」と判定された。脆弱性の分類としては、忘れたパスワードの回復メカニズムに存在する欠陥（CWE-640）に該当する。

本脆弱性の特徴は、攻撃者が事前の認証を必要とせず、標的となるユーザーの操作も介さずに遠隔から悪用できる点にある。悪用に成功した場合、一般ユーザーだけでなく特権を持つ管理者アカウントを含め、あらゆるアカウントのパスワードを強制的に再設定して完全に掌握される危険性がある。

認証基盤であるKeycloakが侵害された場合の影響について、セキュリティ企業Escapeの研究者であるEnzo Mongin氏は、7月に開示された別のアクセス制御の脆弱性（CVE-2026-17059）に触れ、「認証サーバーの境界を突破した攻撃者はKeycloakにとどまらず、その背後にある保護対象のすべてに侵入できる」と警鐘を鳴らしている。なお、2026年8月24日時点では、本脆弱性が実際に攻撃へ悪用された形跡や検証済みの公開エクスプロイトは確認されていない。

状態検証の不備によりメール認証を回避

Red Hatのアドバイザリやバグ報告によると、問題の根本原因はパスワード回復時に実行される「reset-credentials」認証フローにおける状態管理の不備にあるという。

攻撃者がパスワード再設定用のエンドポイントに対して特別に細工したリクエストを送信すると、認証セッションが本来の手順をスキップし、パスワード更新フェーズへと直接遷移してしまう。通常、Keycloakは正当なユーザーであることを確認するためにメール経由でアクショントークン（一時的な認証用トークン）を送信するが、本脆弱性を突いた攻撃ではこのトークンによる検証が一切要求されない。その結果、メールを受信できない第三者であっても新しいパスワードを自由に設定できてしまう状態となっていた。なお、本脆弱性はJames Paremain氏によって報告された。

修正バージョンと各製品の影響範囲

Red HatおよびKeycloakプロジェクトは、本脆弱性に対処する修正版を順次リリースしている。コミュニティ版（アップストリーム）では、2026年8月19日に公開されたバージョン「26.7.2」で修正が行われた。

エンタープライズ向けの「Red Hat build of Keycloak（RHBK）」についても、Red Hatは8月18日付で4件のアドバイザリ（RHSA-2026:56519、RHSA-2026:56520、RHSA-2026:56523、RHSA-2026:56524）を発行し、スタンドアロンパッケージおよびコンテナイメージの修正版を提供している。影響を受けない修正済みバージョンは以下の通りである。

• RHBK 26.4系: オペレーターバンドル「26.4.15-1」以降、およびコンテナイメージ「rhbk/keycloak-rhel9」「rhbk/keycloak-rhel9-operator」のバージョン「26.4-23」以降
• RHBK 26.6系: オペレーターバンドル「26.6.6-1」以降、およびコンテナイメージ「keycloak-rhel9」「operator」のバージョン「26.6-12」以降
• アップストリーム Keycloak: バージョン「26.7.2」以降

関連製品におけるステータスには一部で情報の変遷が見られる。GitHub Advisoryでは影響を受けるバージョンおよびパッチ適用バージョンが未確定（unknown）と記載されているほか、初期のCVEレコードでは「Red Hat Single Sign-On 7」が影響なし、「Red Hat JBoss Enterprise Application Platform Expansion Pack」が影響ありとされていた。その後の改訂で製品リストが絞り込まれ、米国立標準技術研究所（NVD）の表示でも情報が省略されているため、これら製品の現時点での正確なステータスは確定していない。

暫定的な緩和策と公開情報に残る未詳点

システムの制約等により直ちにパッチを適用できない環境に向けて、Red Hatは一時的な回避策を提示している。管理下にあるすべてのレルム（ユーザーや認証設定を管理する論理的な分離単位）において、「パスワードを忘れた場合（Forgot password）」機能を無効化するというものだ。

RHBKの管理コンソールでは、「Realm settings」＞「Login」＞「Forgot password」から設定をオフにできる。Red Hatはこの設定を運用中の全レルムに適用する必要があると強調しており、可能な限り速やかに修正版へアップグレードすることを求めている。この回避策に関連して、ソフトウェアベンダーのUniventionは8月20日の発表で、同社のプラットフォーム「Nubus」のKeycloak環境ではパスワード忘れ機能が無効化されているため影響を受けないと説明している。

なお、公開情報においては、パスワード忘れ機能が有効なすべてのレルムが悪用可能なのか、特定のフロー構成を持つ環境のみが影響を受けるのかについて言及されていない。また、提供されたパッチによって問題が完全に解消されるかどうかも明記されていない。

直近のセキュリティ修正動向

今回修正されたCVE-2026-18963は、Keycloak 26.7.2で対処された8件の脆弱性修正のうちの1つである。同バージョンでは、悪意あるOpenID Connect（OIDC）クライアントを通じてアカウント乗っ取りを可能にするハッシュの脆弱性（CVE-2026-15571）なども併せて修正された。

さらに2週間前の8月5日に公開されたバージョン26.7.1でも、SAMLブローカーログインの制限回避や動的クライアント登録ポリシーの不備など、計12件の脆弱性に対する修正が提供されている。Keycloakを運用する管理者は、自社環境の設定状況を確認するとともに、最新バージョンへの更新計画が求められる。