Lỗ hổng nghiêm trọng trong Keycloak, nền tảng quản lý định danh và truy cập mã nguồn mở được nhiều tổ chức sử dụng, có thể cho phép kẻ tấn công chưa xác thực chiếm quyền tài khoản bằng cách thao túng quy trình đặt lại mật khẩu.
Theo The Hacker News và advisory của Red Hat, lỗ hổng được định danh là CVE-2026-18963, có điểm CVSS 9.1 và được Red Hat xếp mức Critical. Vấn đề nằm trong luồng reset-credentials của thành phần keycloak-services, nơi hệ thống xử lý yêu cầu khôi phục mật khẩu cho người dùng.
Điểm nguy hiểm của CVE-2026-18963
Trong kịch bản bình thường, người dùng yêu cầu khôi phục mật khẩu sẽ phải xác nhận qua liên kết hoặc token được gửi tới email. Red Hat cho biết lỗ hổng xuất phát từ việc xác thực trạng thái không đúng trong luồng khôi phục, khiến kẻ tấn công có thể đưa phiên xác thực đi thẳng tới bước cập nhật mật khẩu mà không cần bấm vào liên kết xác minh qua email.
Nếu khai thác thành công, kẻ tấn công có thể đặt mật khẩu mới cho tài khoản mục tiêu và giành quyền kiểm soát hoàn toàn. Mức độ rủi ro đặc biệt cao vì Keycloak thường nằm ở trung tâm hệ thống đăng nhập một lần, quản lý phiên, phân quyền và kết nối tới nhiều ứng dụng nội bộ.
Phiên bản bị ảnh hưởng và bản vá
Người dùng Keycloak upstream được khuyến nghị nâng cấp lên Keycloak 26.7.2, phát hành ngày 19/08/2026. Với Red Hat build of Keycloak, các bản cập nhật liên quan đã được phát hành cho các nhánh 26.4 và 26.6, bao gồm gói operator bundle và container image tương ứng.
Red Hat cũng phát hành nhiều errata vào ngày 18/08/2026 cho các gói máy chủ độc lập và container image. Tính đến ngày 24/08/2026, nguồn tin cho biết chưa có bằng chứng lỗ hổng bị khai thác trong thực tế và chưa ghi nhận mã khai thác công khai đã được xác minh.
Biện pháp tạm thời khi chưa thể nâng cấp
Với các môi trường chưa thể cập nhật ngay, Red Hat khuyến nghị tạm thời tắt tính năng Forgot password trên tất cả realm. Trong giao diện quản trị Red Hat build of Keycloak, thiết lập này nằm tại Realm settings, mục Login, sau đó chuyển Forgot password sang trạng thái tắt.
Đây chỉ là biện pháp giảm thiểu tạm thời. Các tổ chức vẫn nên ưu tiên nâng cấp lên phiên bản đã vá, rà soát cấu hình realm, kiểm tra nhật ký yêu cầu khôi phục mật khẩu bất thường và đánh giá lại các tài khoản có đặc quyền cao, đặc biệt là tài khoản quản trị.
Khuyến nghị cho đội vận hành
Keycloak là thành phần hạ tầng có tính chất nền tảng. Khi một lỗi trong quy trình khôi phục mật khẩu có thể dẫn tới chiếm quyền tài khoản, tác động không chỉ dừng ở máy chủ Keycloak mà còn lan sang các ứng dụng được bảo vệ phía sau lớp định danh này.
Đội vận hành nên kiểm kê phiên bản Keycloak đang sử dụng, xác định realm nào bật chức năng quên mật khẩu, kiểm tra mức độ phụ thuộc của các ứng dụng nội bộ vào Keycloak và ưu tiên vá các môi trường có tài khoản quản trị hoặc truy cập dữ liệu nhạy cảm. Với hệ thống lớn, cần kết hợp nâng cấp phần mềm với giám sát đăng nhập bất thường, cảnh báo thay đổi mật khẩu hàng loạt và chính sách xác thực đa yếu tố cho tài khoản quan trọng.
VNCyberS tổng hợp từ The Hacker News và Red Hat
Tiếng Việt
English