Falla crítica en Keycloak permite tomar cuentas sin autenticarse

ANCI alertó a proveedores de servicios esenciales y OIV sobre CVE-2026-18963: un atacante remoto puede saltarse la validación del correo de recuperación y fijar una contraseña nueva en cualquier cuenta, incluidas las administrativas.

Qué pasó

El CSIRT Nacional publicó la alerta AVC26-00732 sobre CVE-2026-18963, una vulnerabilidad en el componente keycloak-services que gestiona la autenticación e identidades en Keycloak, el IAM open source más usado en despliegues corporativos y gubernamentales.

Según el aviso, el problema está en el flujo de restablecimiento de contraseña (reset-credentials): una validación incorrecta del estado del proceso permite que un atacante fuerce su avance sin completar el paso esperado -hacer clic en el enlace enviado por correo al usuario legítimo-. El resultado es que el atacante puede establecer directamente una contraseña nueva sobre la cuenta objetivo.

ANCI indica que la explotación puede hacerse de forma remota, sin autenticación previa y sin interacción de la víctima, y que una explotación exitosa permitiría tomar control de cualquier cuenta afectada, incluidas cuentas con privilegios administrativos. El aviso no detalla la versión exacta en que se corrige ni publica un exploit de referencia, y tampoco entrega IOCs de explotación activa: es una alerta de vulnerabilidad, no de campaña en curso.

Hispasec (unaaldia) reportó el mismo CVE el día anterior, citando el aviso oficial de Keycloak. Ambas coberturas -ANCI y Hispasec- se apoyan en el mismo origen, por lo que contamos con dos fuentes, una de ellas primaria; según nuestro criterio de corroboración hacen falta dos primarias o tres fuentes en total para hablar de patrón confirmado. Lo que sí es un hecho verificado por la fuente primaria es la existencia y el mecanismo de la vulnerabilidad, no la existencia de explotación en curso.

Por qué importa acá

Keycloak es el IAM elegido por buena parte del sector público chileno, la banca y empresas medianas y grandes que optaron por no pagar licencia de un IAM comercial. Es exactamente el tipo de componente que un atacante busca primero: si compromete el reset de contraseñas, no necesita explotar nada más -entra por la puerta de identidad y desde ahí decide a qué sistemas llega.

Que ANCI haya dirigido la alerta explícitamente a proveedores de servicios esenciales y OIV importa porque son organizaciones con deber de reporte bajo Ley 21.663: si una de estas entidades detecta explotación o compromiso derivado de esta falla, corresponde informarlo a ANCI por los canales establecidos, no solo parchear en silencio.

Evaluación (confianza media): dado que Keycloak suele exponerse a internet -es el punto de login de portales de autoservicio, VPN corporativas e intranets- creemos probable que exista superficie expuesta en organizaciones chilenas sin que sus equipos de TI lo tengan mapeado como activo crítico de identidad. La alternativa que no podemos descartar es que la mayoría de los despliegues chilenos estén detrás de un IdP externo o de un proxy que limite el acceso al endpoint de reset, lo que reduciría la exposición real. Lo que sí confirma o refuta esto es un inventario simple: cuántas instancias de Keycloak responden en el puerto público y si el endpoint /realms/*/login-actions/reset-credentials es alcanzable desde internet.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — El endpoint reset-credentials de Keycloak suele estar expuesto públicamente como parte del flujo de autoservicio; la explotación no requiere credenciales previas.
• T1556 — El atacante interfiere en el mecanismo de verificación esperado -el clic en el enlace de correo- y avanza el proceso sin cumplirlo, evadiendo el control de identidad diseñado para esa validación.
• T1098 — Al fijar una contraseña nueva sobre la cuenta objetivo, el atacante puede mantener acceso persistente reutilizando el mismo mecanismo si no se corrige la validación de estado.

title: Multiples restablecimientos de contrasena en Keycloak desde el mismo origen
id: b6e2f1a4-7c3d-4e9b-9a1f-2d6c8e4b7f31
status: experimental
description: Detecta un volumen anomalo de eventos UPDATE_PASSWORD/RESET_PASSWORD en Keycloak asociados a la misma IP de origen en una ventana corta, patron asociado a la explotacion de CVE-2026-18963.
references:
  - https://csirt.gob.cl/alertas/AVC26-00732/
logsource:
  product: keycloak
  service: events
detection:
  selection:
    event_type:
      - UPDATE_PASSWORD
      - RESET_PASSWORD
  timeframe: 5m
  condition: selection | count() by ipAddress > 3
falsepositives:
  - Administradores realizando restablecimientos masivos legitimos (ej. rotacion programada post-incidente)
  - Herramientas de aprovisionamiento automatizado de cuentas
level: high
tags:
  - attack.initial_access
  - attack.t1190
  - cve.2026.18963

let umbral = 3;
KeycloakEvents_CL
| where EventType_s in ("UPDATE_PASSWORD", "RESET_PASSWORD")
| summarize eventos = count(), usuarios = dcount(UserId_s) by IpAddress_s, bin(TimeGenerated, 5m)
| where eventos > umbral
| project TimeGenerated, IpAddress_s, eventos, usuarios

index=keycloak sourcetype=keycloak:events (event_type="UPDATE_PASSWORD" OR event_type="RESET_PASSWORD")
| bin _time span=5m
| stats count as eventos, dc(userId) as usuarios by ipAddress, _time
| where eventos > 3

SELECT sourceip, COUNT(*) as eventos, UNIQUECOUNT(username) as usuarios
FROM events
WHERE LOGSOURCETYPENAME(devicetype) ILIKE '%Keycloak%'
AND (eventname ILIKE '%UPDATE_PASSWORD%' OR eventname ILIKE '%RESET_PASSWORD%')
GROUP BY sourceip
HAVING eventos > 3
LAST 5 MINUTES

Fuentes

• ANCIAVC26-00732 - Keycloak, Vulnerabilidad Crítica · 2026-08-26
• Hispasec (unaaldia)Keycloak corrige un fallo crítico en el restablecimiento de contraseñas que permite tomar cuentas sin autenticación · 2026-08-25

Relacionado