JAVASCORNER.CO.ID, JAKARTA - Red Hat dan proyek Keycloak baru saja merilis patch untuk menutup celah keamanan kritis pada server manajemen identitas dan akses open-source. Kerentanan ini, yang terdaftar sebagai CVE-2026-18963, memungkinkan penyerang dari jarak jauh tanpa autentikasi untuk mengambil alih akun pengguna mana pun dengan memaksa reset kata sandi.
- Detail Kerentanan
- Dampak dan Eksploitasi
- Versi Terdampak dan Perbaikan
- Mitigasi Sementara
- Refleksi Keamanan
Detail Kerentanan
Menurut advisori CVE dari Red Hat, akar masalahnya adalah "validasi status yang tidak tepat dalam alur autentikasi reset-credentials," yaitu proses yang dijalankan Keycloak saat pengguna meminta pemulihan kata sandi. Skor keparahan kerentanan ini mencapai 9.1 dari 10 dalam sistem CVSS.
Kerentanan ini diklasifikasikan sebagai mekanisme pemulihan kata sandi yang lemah (CWE-640). Penyerang dapat mengirim permintaan yang dibuat khusus ke endpoint reset-credentials, sehingga sesi autentikasi langsung beralih ke fase pembaruan kata sandi tanpa memerlukan token aksi yang biasanya dikirim melalui email.
Dampak dan Eksploitasi
Eksploitasi yang berhasil akan menghasilkan pengambilalihan akun penuh dari pengguna mana pun, termasuk akun administratif, dengan mereset kata sandi mereka. Hingga 24 Agustus 2026, belum ada bukti eksploitasi aktif atau publik yang terverifikasi.
Peneliti Escape, Enzo Mongin, yang sebelumnya mengungkap kerentanan kontrol akses Keycloak lain pada Juli, menekankan bahwa penyerang yang menembus batas server tidak berhenti di Keycloak, melainkan "mereka masuk ke semua yang ada di belakangnya." Hal ini menunjukkan dampak berantai yang bisa ditimbulkan.
Versi Terdampak dan Perbaikan
Red Hat mengeluarkan empat errata pada 18 Agustus 2026 untuk menangani kerentanan ini, mencakup paket server standalone dan image container untuk dua aliran RHBK. Versi yang diperbaiki adalah sebagai berikut:
| No | Produk | Versi Terdampak | Versi Diperbaiki |
|---|---|---|---|
| 1 | Red Hat build of Keycloak 26.4 | Operator bundle sebelum 26.4.15-1 | 26.4.15-1, image 26.4-23 |
| 2 | Red Hat build of Keycloak 26.6 | Operator bundle sebelum 26.6.6-1 | 26.6.6-1, image 26.6-12 |
| 3 | Upstream Keycloak | Sebelum 26.7.2 | 26.7.2 |
Dari tabel di atas, versi yang paling banyak diperbaiki adalah RHBK 26.6 dengan dua jenis image. Sementara itu, pengguna upstream Keycloak disarankan segera memperbarui ke versi 26.7.2.
Mitigasi Sementara
Bagi organisasi yang belum bisa melakukan pembaruan segera, Red Hat menerbitkan mitigasi sementara: matikan fitur "Lupa kata sandi" di semua realm. Pengaturan ini dapat ditemukan di konsol administrasi RHBK di bawah Realm settings, lalu Login, lalu Forgot password. Red Hat menekankan pengaturan ini harus diterapkan ke setiap realm.
Selain itu, CVE-2026-18963 adalah salah satu dari delapan CVE yang diperbaiki dalam rilis Keycloak 26.7.2. Rilis yang sama juga menangani CVE-2026-15571, hash tautan akun yang dapat diprediksi yang memungkinkan pengambilalihan akun melalui klien OpenID Connect (OIDC) berbahaya.
Refleksi Keamanan
Kerentanan ini menjadi pengingat pentingnya menjaga keamanan sistem manajemen identitas. Keycloak sering menjadi gerbang utama bagi banyak aplikasi, sehingga satu celah dapat berdampak luas. Organisasi yang menggunakan Keycloak harus segera memperbarui ke versi terbaru atau menerapkan mitigasi yang disarankan.
Univention, misalnya, menyatakan bahwa produk Nubus mereka tidak terpengaruh karena fitur lupa kata sandi tidak diaktifkan dalam deployment Keycloak mereka. Ini menunjukkan bahwa konfigurasi yang tepat dapat mengurangi risiko.
Red Hat mengkreditkan James Paremain atas laporan kerentanan ini. Meskipun patch telah dirilis, beberapa pertanyaan masih terbuka, seperti apakah semua realm dengan fitur lupa kata sandi aktif dapat dieksploitasi atau hanya konfigurasi alur tertentu. Namun, yang jelas, langkah cepat sangat diperlukan untuk melindungi aset digital Anda.
