Die Ursache liegt laut Red Hats CVE-Hinweis in einer „unsachgemäßen Zustandsprüfung innerhalb des Authentifizierungsablaufs zum Zurücksetzen von Zugangsdaten" — also jener Sequenz, die Keycloak startet, wenn ein Nutzer sein Passwort wiederherstellen möchte.
Dem Fehlerbericht von Red Hat zufolge genügt eine speziell präparierte Anfrage an den Endpunkt für das Zurücksetzen der Zugangsdaten. Die Authentifizierungssitzung springt daraufhin direkt in die Phase der Passwortaktualisierung. Das Aktions-Token, das Keycloak normalerweise per E-Mail verschickt, wird dabei nie verlangt. Das Ergebnis ist eine vollständige Kontoübernahme, ausdrücklich auch bei Administratorkonten.
Red Hat veröffentlichte am 18. August 2026 vier Errata — RHSA-2026:56519, RHSA-2026:56520, RHSA-2026:56523 und RHSA-2026:56524 —, die sowohl die eigenständigen Server-Pakete als auch die Container-Images zweier RHBK-Zweige abdecken.
Die Datenlage rund um die betroffenen Produkte ist teilweise unklar: Das GitHub-Advisory führt sowohl die betroffenen als auch die gepatchten Versionen als unbekannt, der CVE-Eintrag verweist ausschließlich auf Red-Hat-Produkte. Ursprünglich war Red Hat Single Sign-On 7 als nicht betroffen und das Red Hat JBoss Enterprise Application Platform Expansion Pack als betroffen gelistet; eine spätere Überarbeitung verkürzte die Produktliste, und die Darstellung in der NVD schneidet sie ab — der aktuelle Status beider Produkte ist damit nicht gesichert.
Für Installationen, die sich nicht sofort aktualisieren lassen, nennt Red Hat eine vorübergehende Gegenmaßnahme: die Funktion „Passwort vergessen" in sämtlichen Realms abschalten. In der RHBK-Administrationskonsole findet sich die Einstellung unter Realm settings, dann Login, dann Forgot password. Red Hat betont, dass die Einstellung in jedem einzelnen Realm greifen muss und Kunden so schnell wie möglich auf eine fehlerbereinigte Version wechseln sollten.
CVE-2026-18963 ist einer von acht CVE-Einträgen, die in den Versionshinweisen zu Keycloak 26.7.2 als behoben aufgeführt sind. Dieselbe Ausgabe schließt CVE-2026-15571, einen vorhersagbaren Hash für die Kontoverknüpfung, über den sich Konten mithilfe eines bösartigen OpenID-Connect-Clients übernehmen lassen. Zwei Wochen zuvor, am 5. August 2026, hatte Keycloak 26.7.1 Korrekturen für zwölf CVEs ausgeliefert, darunter eine vom SAML-Identitätsanbieter initiierte Broker-Anmeldung, die eine Beschränkung auf reine Verknüpfung umging, sowie eine standardmäßige Richtlinie zur dynamischen Client-Registrierung, die das Fälschen von Rollen über User-Property-Mapper erlaubte.
Univention erklärte in einem am 20. August veröffentlichten Beitrag, „Nubus ist von diesem Problem nicht betroffen", da die Funktion für vergessene Passwörter in den dortigen Keycloak-Installationen nicht aktiviert sei.
Zur Tragweite solcher Schwachstellen äußerte sich Enzo Mongin, Forscher bei Escape, mit Blick auf eine separate Zugriffskontrolllücke in Keycloak, die er im Juli offengelegt hatte: Wer eine der Grenzen des Servers überwinde, bleibe nicht bei Keycloak stehen, sondern „gelangt in alles hinein, was dahinterliegt".
Ob jeder Realm mit aktivierter Funktion für vergessene Passwörter angreifbar ist oder nur bestimmte Konfigurationen des Ablaufs zum Zurücksetzen der Zugangsdaten, geht aus keiner der veröffentlichten Quellen hervor. Ebenso wenig äußert sich eine Quelle dazu, ob der Fix die Lücke vollständig beseitigt.