[속보] Keycloak, 인증 우회로 계정 탈취 가능한 취약점 수정…26.7.2 배포

Keycloak 프로젝트의 공식 26.7.2 릴리스와 Red Hat Product Security 공지에 따르면, 비밀번호 재설정 과정의 이메일 인증을 우회해 임의 사용자의 계정을 탈취할 수 있는 취약점(CVE-2026-18963)이 수정됐다. Keycloak은 이번 릴리스의 보안 수정 목록에 해당 취약점을 ‘reset-credentials flow bypass’를 통한 인증되지 않은 계정 탈취 문제로 올렸다.

Red Hat은 이 취약점이 원격의 인증되지 않은 공격자가 사용자 상호작용 없이 악용할 수 있는 치명적 문제라고 평가했다. 공지에 따르면 공격자는 비밀번호 복구 흐름에서 이메일 확인 단계를 건너뛰고 새 자격 증명을 설정해 대상 계정을 장악할 수 있다. Red Hat이 제시한 CVSS 3.1 점수는 9.1점이다.

Keycloak의 공식 수정 PR은 재설정 흐름에서 인증 선택기 상태를 실행 ID에 연결하고, 일치하는 액션 토큰이 없는 재설정 이메일 작업을 거부하도록 바꿨다. 회귀 테스트도 함께 추가됐다.

영향 여부는 배포 버전과 비밀번호 찾기 기능의 사용 여부에 따라 확인해야 한다. Red Hat은 즉시 업데이트가 어려운 경우 모든 realm에서 ‘Forgot password’ 기능을 끄는 임시 완화 조치를 제시했다. 운영자는 우선 사용 중인 Keycloak 또는 Red Hat Build of Keycloak의 영향 범위를 점검하고, 고정 버전으로 업데이트할 필요가 있다.

출처: Keycloak 공식 릴리스 https://github.com/keycloak/keycloak/releases/tag/26.7.2
출처: Red Hat Product Security https://access.redhat.com/security/cve/CVE-2026-18963
출처: NIST NVD https://nvd.nist.gov/vuln/detail/CVE-2026-18963
출처: Keycloak 공식 수정 PR https://github.com/keycloak/keycloak/pull/51844