Qué hacer
esta semana 10 de septiembre de 2026
critica · chile

Falla crítica en Keycloak permite tomar cuentas sin autenticarse

CVE-2026-18963 afecta el flujo reset-credentials de Keycloak: una validación incorrecta del estado del proceso permite forzar su avance y establecer una contraseña nueva sin haber hecho clic en el enlace enviado al correo del usuario.

Esta semana — prioridad 1

Actualizar Keycloak a la versión que corrige CVE-2026-18963 en todas las instancias inventariadas esfuerzo medio · attack M1051 · cis 7.1 · iso27001 A.8.8
Si el parche no puede aplicarse de inmediato, exigir MFA obligatorio para completar cualquier restablecimiento de contraseña, incluso tras el link de correo esfuerzo bajo · attack M1032 · cis 6.5 · iso27001 A.8.5
Poner rate limiting agresivo sobre el endpoint reset-credentials en el proxy o WAF frente a Keycloak mientras se despliega el parche esfuerzo bajo · attack M1037 · cis 13.1 · iso27001 A.8.20

Este mes — prioridad 2

Revisar retroactivamente 30 días de eventos de restablecimiento de contraseña en busca del patrón anómalo descrito esfuerzo medio · attack M1047 · cis 8.5 · iso27001 A.8.16
Rotar credenciales de cuentas administrativas gestionadas por Keycloak como medida preventiva post-parche esfuerzo bajo · attack M1027 · cis 5.3 · iso27001 A.8.5

Qué necesitas tener logueado

Keycloak admin events log (event_type, realmId, userId, ipAddress, time)
Keycloak server log / access log del endpoint /realms/{realm}/login-actions/reset-credentials
Logs de proxy inverso o WAF frente a Keycloak, si existe

Las reglas de detección de este análisis están listas para descargar en https://www.vantis.cl/noticias/keycloak-cve-2026-18963-reset-credentials/reglas.txt — incluyen la versión Sigma canónica y las traducciones a los motores que apliquen.