Eine kritische Sicherheitslücke im Keycloak Passwort-Reset sorgt derzeit für dringenden Handlungsbedarf. Red Hat und das Keycloak-Projekt haben Patches veröffentlicht, weil ein unautorisierter Angreifer laut Advisory Konten übernehmen kann, indem er einen Passwort-Reset erzwingt – ohne dass eine Anmeldung oder Nutzerinteraktion erforderlich ist.
Die Schwachstelle trägt die Kennung CVE-2026-18963 und wird von Red Hat mit 9,1 auf der CVSS-Skala als kritisch eingestuft. Betroffen ist eine Komponente im Ablauf, der beim Vergessen des Passworts die Rücksetzung anstößt.
Was ist beim Keycloak Passwort-Reset passiert?
Im Zentrum der Meldung steht ein Fehler in der Zustandsvalidierung innerhalb des Authentifizierungsflusses für „Reset Credentials“. Dieser Fluss ist der technische Ablauf, der bei einer Passwortwiederherstellung in Keycloak gestartet wird.
Red Hat beschreibt als Ursache „improper state validation“: Bestimmte Schritte im Ablauf prüfen demnach nicht ausreichend, ob der Zustand korrekt ist. Dadurch kann es einem Angreifer gelingen, die Sitzung so zu beeinflussen, dass der Prozess direkt in die Phase der Passwortaktualisierung übergeht.
Normalerweise wird im Vergabeprozess ein Aktions-Token per E-Mail an den Nutzer versendet. Laut Red Hat ist dieser Token im beschriebenen Angriffsszenario nicht erforderlich. Das senkt die Hürde für eine erfolgreiche Ausnutzung erheblich.
Auswirkung: vollständige Kontenübernahme
Wenn der Angriff gelingt, führt das zu einer vollständigen Übernahme eines Benutzerkontos. Dabei kann es sich laut Advisory auch um administrative Konten handeln. Der Grund: Der Angreifer setzt das Passwort so zurück, dass er sich anschließend mit dem neuen Kennwort legitimieren kann.
Red Hat ordnet die Schwachstelle als kritisch ein, weil sie ohne Benutzeraktion aus der Ferne ausgenutzt werden kann. Es gibt aktuell zudem keine Hinweise auf eine bereits erfolgte Ausnutzung sowie keinen bestätigten öffentlichen Exploit zum Stand der Veröffentlichung.
Betroffene und gepatchte Versionen
Für die Umsetzung der Korrekturen nennt Red Hat klare Zielversionen. Je nach Keycloak-Variante gelten unterschiedliche Updates.
Upstream Keycloak
- Update auf Version 26.7.2 (veröffentlicht am 19. August 2026)
Red Hat build of Keycloak (RHBK)
- Für 26.4: Updates für 26.4.15 anwenden
- Für 26.6: Updates für 26.6.6 anwenden
Red Hat hat außerdem Errata veröffentlicht, die sowohl Standalone-Serverpakete als auch Container-Images für zwei RHBK-Streams abdecken.
Hinweise zu „Operator Bundle“ und Container-Images
In den veröffentlichten Details werden außerdem Versionen genannt, die als unbeeinflusst gelten, inklusive Operator-Bundles und entsprechender Container-Images. Entscheidend ist: Prüfen Sie bei Ihrem Setup die installierten Komponenten genau und heben Sie den Patch-Stand entsprechend an.
Warum ist das schwer auszuhalten für Betreiber?
Gerade im Identitäts- und Zugriffsbereich ist die Passwortwiederherstellung ein zentraler Bestandteil. Wenn Angreifer diesen Weg missbrauchen können, ist das Risiko unmittelbar: Ein Reset ist häufig dafür gedacht, Benutzer im Notfall wieder handlungsfähig zu machen – und genau diese „Notfall“-Funktion kann zum Einfallstor werden.
Hinzu kommt, dass Red Hat in den Quellen nicht eindeutig beschreibt, ob alle Realm-Konfigurationen mit aktivierter Vergessensfunktion gleichermaßen angreifbar sind oder ob nur bestimmte Varianten des Reset-Ablaufs betroffen sind. Für die Praxis bedeutet das: Wer die Funktion nutzt, sollte das Risiko zunächst als real ansehen, bis die Umgebung aktualisiert ist.
Keine Zweifel: Erst patchen, dann prüfen
Red Hat und das Keycloak-Team haben die Lücke geschlossen, aber die technische Lage im Betrieb bleibt: Nach einem Update sollten Sie nachvollziehen, dass die betroffenen Routen und Flows tatsächlich den gepatchten Stand ausführen.
Empfehlenswert ist deshalb ein kurzes, strukturiertes Vorgehen:
- Versionen erfassen (Upstream oder RHBK, Stand der einzelnen Komponenten)
- Updates einspielen gemäß den von Red Hat genannten Zielständen
- Realm-Konfigurationen prüfen, insbesondere ob „Forgot password“ aktiviert ist
- Test der Passwortwiederherstellung im vorgesehenen Prozess, um Funktionsfähigkeit sicherzustellen
Wenn Sie parallele Release-Zyklen haben (z. B. Operator-Management oder Container-Pipelines), achten Sie darauf, dass nicht nur „irgendwo“ etwas updated wurde, sondern tatsächlich die relevanten Images/Packages im Einsatz sind.
Temporäre Mitigation: „Forgot password“ abschalten
Für Umgebungen, die nicht sofort aktualisieren können, hat Red Hat eine kurzfristige Gegenmaßnahme veröffentlicht: Deaktivieren Sie die Funktion „Forgot password“ in allen Realms.
Der Schalter befindet sich in der Administrationskonsole unter:
- Realm settings
- Login
- Forgot password
Wichtig: Red Hat betont, dass die Einstellung für jedes Realm separat gesetzt werden muss. Sobald Patches verfügbar und eingespielt sind, können Sie die Funktion wieder in Betracht ziehen – idealerweise nach Validierung, dass der Passwort-Reset erwartungsgemäß funktioniert.
Einordnung: weitere Keycloak-Updates in der gleichen Zeit
Die Schwachstelle CVE-2026-18963 ist nicht die einzige Security-Änderung, die aktuell in Keycloak-Versionen behandelt wurde. In den Release Notes rund um Keycloak 26.7.2 wurden laut Quellen mehrere CVEs als behoben gelistet, darunter auch CVE-2026-15571, das mit einem vorhersagbaren Hash im Kontext von Konto-Verknüpfungen zusammenhängt.
Bereits kurz zuvor, am 5. August 2026, wurden mit Keycloak 26.7.1 Fixes für zwölf weitere CVEs ausgeliefert. Dazu zählen laut Bericht unter anderem Probleme rund um eine SAML-Identity-Provider-initiierte Broker-Login-Variante sowie ein Standardverhalten für „dynamic client registration“, das in Kombination mit bestimmten Konfigurationen zu ungewollten Rollenänderungen führen konnte.
Auch wenn Ihr unmittelbarer Fokus jetzt auf dem Keycloak Passwort-Reset liegt: Die parallelen Fixes sprechen dafür, Patchmanagement nicht als „Einzelfall“-Aufgabe zu behandeln, sondern als konsistenten Sicherheitsprozess.
Stand der Ausnutzung und beobachtete Details
Laut den veröffentlichten Informationen gibt es zum Zeitpunkt der Meldung keine Belege für eine bereits stattgefundene Ausnutzung. Gleichzeitig wurde kein bestätigter öffentlicher Exploit gefunden.
Die Quellen erwähnen zudem einen Escape-Researcher, der in einem separaten Kontext auf eine breitere Wirkung von kompromittierten Bereichen verwiesen hat. Die Kernaussage daraus: Wenn ein Angreifer eine Sicherheitsgrenze im System überwindet, kann das potenziell dazu führen, dass nicht nur Keycloak isoliert betroffen ist, sondern auch Komponenten hinter der Identity-Lösung.
Darüber hinaus findet sich in der Berichterstattung ein Hinweis darauf, dass einige Produkte/Setups laut Aussagen in der Community möglicherweise nicht betroffen sind, weil die Vergessensfunktion in den jeweiligen Keycloak-Deployments nicht aktiviert war. Verlassen Sie sich in Ihrer Entscheidung trotzdem nicht allein auf externe Annahmen: Entscheidend ist Ihr konkretes Setup.
Fazit: Jetzt handeln, um Konten zu schützen
Die Nachricht ist klar: Die Keycloak Passwort-Reset-Schwachstelle mit CVE-2026-18963 stellt ein akutes Risiko dar, weil ein unautorisierter Angreifer laut Red Hat eine Passwortaktualisierung anstoßen und damit Konten übernehmen kann – inklusive administrativer Accounts.
Priorisieren Sie deshalb zeitnah das passende Update: Upstream auf 26.7.2 und RHBK auf die in den Errata genannten Versionen. Wenn ein Update nicht sofort möglich ist, deaktivieren Sie „Forgot password“ in allen Realms, bis die Patches eingespielt sind.
Quelle: https://thehackernews.com/2026/08/critical-keycloak-password-reset-flaw.html
