Pemasaran Digital
Pemasaran Digital Kembangkan brand Anda dan jangkau audiens yang tepat dengan strategi pemasaran berbasis data. Kami membantu Anda membuat kampanye yang menghasilkan konversi, mengelola media sosial s…
Celah Kritis Keycloak Bisa Membuat Akun Diambil Alih Tanpa Login
Kerja Sama Operasional Internet & WiFi
Layanan Kelola Wi-Fi Bangun Wi-Fi yang cepat, stabil, dan aman untuk bisnis Anda tanpa biaya penyusutan. Wi-Fi Tamu Kelas Enterprise dengan Biaya Perangkat Awal Rp 0. Kami menyediakan, menginstal, dan…
Konsultasi IT
Konsultasi IT Dapatkan panduan ahli untuk memaksimalkan pemanfaatan teknologi dalam pengembangan bisnis Anda.Kami membantu Anda menemukan solusi IT yang tepat, mengoptimalkan infrastruktur, serta mema…
Sistem Bisnis Terintegrasi
Sistem Bisnis Terintegrasi Permudah operasional harian Anda dengan sistem cerdas yang mengotomatiskan pemesanan, jadwal, dan tugas rutin sehingga Anda bisa lebih fokus mengembangkan bisnis.Kami memban…
Layanan Kelola Teknologi Informasi
Layanan Kelola Teknologi Informasi Pastikan teknologi bisnis Anda berjalan lancar, mulai dari perangkat yang digunakan setiap hari hingga sistem yang mendukung seluruh operasional.Kami menyediakan lay…
Karir
Karir | Bergabung CometSoul Kami adalah startups yang bergerak di bidang Computer Network and Security, Wireless Fidelity (wifi), Jaringan Lokal and Load Balancing. Klien sebagian besar berlokasi di B…
Testimoni
Testimoni
Layanan
Temukan Layanan yang Sesuai dengan Kebutuhan Anda
Manajemen Pemesanan
Manajemen Pemesanan Kami membantu Anda membangun sistem pemesanan yang terintegrasi dan mudah digunakan, semua reservasi tersinkronisasi secara otomatis, tanpa risiko double booking atau kekacauan jad…
Celah kritis ditemukan pada sistem password reset Keycloak. Masalah ini dapat membuat attacker mengambil alih akun tanpa perlu login lebih dulu.
Celah tersebut dilacak sebagai CVE-2026-18963 dan memiliki skor CVSS 9.1. Karena berdampak pada sistem identitas, risikonya cukup serius bagi perusahaan yang memakai Keycloak.
Bagaimana Celah Ini Bekerja?
Masalah terjadi pada alur reset credentials. Keycloak tidak memeriksa status proses reset dengan cukup ketat.
Akibatnya, attacker dapat memaksa proses reset password untuk akun lain. Setelah itu, attacker berpotensi mengambil alih akun tersebut.
Selain itu, serangan tidak membutuhkan akun valid lebih dulu. Karena itu, server Keycloak yang terbuka ke internet perlu segera diperiksa.
Versi yang Sudah Diperbaiki
Untuk Keycloak upstream, perbaikan tersedia di versi 26.7.2.
Sementara itu, pengguna Red Hat build of Keycloak perlu memakai versi 26.4.15 atau 26.6.6 sesuai branch yang digunakan.
Karena itu, administrator sebaiknya segera mengecek versi yang berjalan dan melakukan update jika masih memakai versi lama.
Mitigasi Sementara
Jika update belum bisa dilakukan, Red Hat menyarankan untuk menonaktifkan fitur Forgot password.
Pengaturan ini harus dimatikan pada setiap realm yang digunakan.
Namun, langkah tersebut hanya mitigasi sementara. Update ke versi yang sudah diperbaiki tetap menjadi solusi utama.
Apakah Sudah Dieksploitasi?
Saat laporan diterbitkan, belum ada bukti bahwa CVE-2026-18963 telah digunakan dalam serangan nyata.
Selain itu, belum ada exploit publik yang terverifikasi.
Meski begitu, celah account takeover tetap perlu ditangani cepat. Terutama jika Keycloak dipakai untuk login ke aplikasi penting.
Kesimpulan
CVE-2026-18963 adalah celah serius pada fitur password reset Keycloak. Masalah ini dapat membuka jalan untuk account takeover tanpa autentikasi.
Karena itu, pengguna perlu segera update ke versi yang sudah diperbaiki. Jika update belum memungkinkan, nonaktifkan fitur Forgot password pada semua realm sampai patch diterapkan.
Source: https://thehackernews.com/2026/08/critical-keycloak-password-reset-flaw.html