Une faille critique vient d'être corrigée dans Keycloak, le logiciel open source de gestion des identités et des accès. Un attaquant sans aucun compte pouvait prendre le contrôle de n'importe quel compte utilisateur en contournant la vérification par e-mail du mot de passe oublié. Le correctif est disponible, mais il faut agir vite.
Ce que fait Keycloak, et pourquoi ça compte
Keycloak est un serveur d'authentification open source très répandu. Concrètement, c'est lui qui gère les connexions, les mots de passe et les sessions de tes applications : quand tu te connectes à un site d'entreprise, à un portail ou à un outil interne avec un seul compte, c'est souvent Keycloak qui travaille dans l'ombre. Il est utilisé par des milliers d'organisations, des petites structures aux grandes entreprises, et il est aussi intégré dans des distributions comme Red Hat.
La faille, référencée CVE-2026-18963, touche le flux de réinitialisation du mot de passe. Normalement, quand quelqu'un clique sur « mot de passe oublié », un e-mail de vérification est envoyé pour prouver qu'on est bien le propriétaire du compte. Ici, cette étape pouvait être complètement sautée.
Une prise de contrôle sans aucune interaction
Le problème vient d'une mauvaise validation de l'état du flux d'authentification. Un attaquant non authentifié pouvait forcer le processus de réinitialisation du mot de passe pour n'importe quel utilisateur, sans avoir à cliquer sur le lien de vérification envoyé par e-mail. Résultat : il pouvait définir directement de nouveaux identifiants et prendre le contrôle total du compte.
La gravité est maximale : le score CVSS atteint 9,1 sur 10, la note « critique ». L'exploitation ne demande aucune interaction de la victime, aucun privilège préalable, et se fait à distance. Un chercheur a même démontré qu'avec simplement le nom d'utilisateur ou l'adresse e-mail d'une cible, le compte pouvait être compromis en quelques secondes.
La page « mot de passe oublié » de Keycloak, le point d'entrée du flux vulnérable. Documentation officielle Keycloak
Qui est concerné, et comment se protéger
La faille a été introduite dans la version 26.0 de Keycloak et touche toutes les versions jusqu'à la 26.7.1. Les versions 26.4.15, 26.6.6 et 26.7.2 corrigent le problème. Si tu utilises une version antérieure à 26.0, tu n'es pas concerné. Si tu es sur une version 26.x, il faut mettre à jour dès que possible.
En attendant la mise à jour, une parade temporaire existe : désactiver la fonctionnalité « mot de passe oublié » dans tous les realms (les espaces de configuration de Keycloak). C'est une solution de secours, pas un correctif : elle coupe la fonctionnalité, mais protège le flux vulnérable.
On parlait récemment d'une autre faille critique, celle de GitLab, qui laissait modifier des projets publics. Les correctifs de sécurité s'enchaînent, et celui-ci est l'un des plus graves de l'été.
Une leçon sur les flux d'authentification
Cette faille rappelle que les mécanismes de récupération de compte sont des cibles de choix. Ils sont conçus pour être accessibles sans authentification, ce qui en fait des portes d'entrée idéales pour un attaquant. Une simple erreur de logique dans la validation d'un flux peut transformer une fonctionnalité pratique en porte ouverte sur tous les comptes.
Si tu héberges Keycloak, vérifie ta version dès maintenant. Si tu utilises un service qui s'appuie dessus, surveille les annonces de ton fournisseur. La mise à jour est simple, mais elle est urgente : une faille critique exploitable à distance sans interaction, ça ne se laisse pas traîner.
Sources
L'avis de sécurité de Red Hat pour la CVE-2026-18963, avec le détail de la gravité et des versions corrigées.
Le ticket officiel Keycloak sur GitHub, qui documente la faille, les versions concernées et le correctif.
Les notes de version de Keycloak 26.7.2, qui listent le correctif de sécurité.
L'analyse de The Hacker News sur la faille de réinitialisation de mot de passe.
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet