Keycloak, desarrollado por Red Hat y mantenido como proyecto de código abierto, se ha convertido en uno de los proveedores de identidad y acceso (IAM) más populares entre organizaciones de distintos sectores. Su arquitectura basada en OAuth 2.0 y OpenID Connect permite a empresas gestionar usuarios, roles y políticas de seguridad de forma centralizada, facilitando la integración con aplicaciones web, móviles y servicios en la nube. Dada su amplia adopción, cualquier vulnerabilidad en la plataforma tiene el potencial de afectar a miles de sistemas y usuarios.
La CVE‑2026‑18963, calificada con 9,1 en la escala CVSS de Red Hat, representa una falla crítica en el flujo de restablecimiento de contraseñas. Un atacante no autenticado puede enviar una petición specially crafted a un endpoint de Keycloak, provocando que el servidor genere un nuevo token de sesión y cambie la contraseña sin necesidad de verificación previa. De este modo, el agresor gana acceso total a la cuenta objetivo, sin que el usuario o el administrador reciban alertas.
El mecanismo vulnerado no verifica que la solicitud provenga de un usuario autenticado ni que exista una sesión activa, lo que permite la ejecución remota de código bajo el contexto del proceso Keycloak. Una vez que el atacante obtiene la nueva contraseña, puede iniciar sesión, escalar privilegios y acceder a datos sensibles, modificar roles o incluso crear cuentas falsas. Este tipo de takeover no solo compromete la cuenta individual, sino que también puede servir como punto de entrada para ataques lateralmente dentro de la red corporativa.
Red Hat y el equipo de desarrollo de Keycloak publicaron de inmediato un parche que corrige la lógica de validación de sesiones y añade controles de autenticación en el endpoint de reset. El arreglo está disponible a partir de la versión 24.0.6 y se recomienda su instalación inmediata en todos los entornos, tanto en despliegues on‑premise como en la nube. Además, se emitieron avisos de seguridad que describen los pasos para mitigar el riesgo mientras se actualiza el software.
Para los profesionales de TI y de seguridad, la aparición de esta vulnerabilidad subraya la importancia de mantener los componentes de IAM al día y de implementar monitoreo continuo de los logs de autenticación. Un compromiso de este tipo puede derivar en brechas de datos, incumplimientos de normativas como GDPR o ISO 27001 y daños reputacionales significativos. La rapidez con la que las organizaciones apliquen el parche y revisen sus configuraciones de Keycloak será determinante para limitar el impacto y proteger la integridad de sus identidades digitales.
Como medida preventiva, se aconseja reforzar la autenticación multifactor, segmentar los permisos de administrador y realizar auditorías periódicas de cambios en la configuración del gestor de identidad. Mantener un inventario actualizado de versiones de software y sus correspondientes parches, así como emplear herramientas de escaneo de vulnerabilidades automatizadas, ayuda a detectar a tiempo posibles fallas como CVE‑2026‑18963 antes de que sean explotadas en la naturaleza.
