Faille critique Keycloak : des comptes piratables sans authentification

Une faille critique dans Keycloak, la solution open source d'identité et de gestion des accès, exposait des millions de comptes à des prises de contrôle par des attaquants non authentifiés. Découverte et corrigée en urgence, cette vulnérabilité (CVE-2026-18963) permettait à quiconque de réinitialiser le mot de passe de n'importe quel utilisateur, sans aucune vérification préalable.

Classée 9,1 sur 10 sur l'échelle CVSS par Red Hat qui en assure la gestion des vulnérabilités, cette faille touche le mécanisme de récupération de mot de passe oublié. Les versions concernées incluent les déploiements upstream de Keycloak ainsi que les builds Red Hat (RHBK). The Hacker News précise qu'aucun exploit public n'a été détecté à ce jour, mais l'absence de preuve d'exploitation ne signifie pas absence de risque.

Qui est concerné ?

Keycloak est largement utilisé par les entreprises et institutions pour sécuriser l'accès à leurs applications, y compris en Afrique où son adoption progresse avec la digitalisation des services publics et bancaires. Au Burkina Faso, plusieurs administrations et startups tech s'appuient sur cette solution pour gérer les identités numériques de leurs utilisateurs. Une exploitation de cette faille aurait pu permettre à des cybercriminels de s'infiltrer dans des systèmes critiques.

Red Hat a publié des correctifs le 19 août 2026 : la version 26.7.2 pour les utilisateurs de Keycloak upstream, et les versions 26.4.15 et 26.6.6 pour les clients de Red Hat Build of Keycloak. Les organisations sont invitées à appliquer ces mises à jour sans délai, d'autant que la faille est désormais documentée publiquement.

Pour les équipes techniques, la vulnérabilité (CWE-640) réside dans un weak password recovery mechanism : le système de réinitialisation ne validait pas correctement les demandes, permettant à un attaquant de contourner les protections et d'imposer un nouveau mot de passe. Une faille d'autant plus préoccupante qu'elle ne nécessitait aucune interaction de la victime un simple envoi de requête malveillante suffisait.

Cette alerte rappelle l'importance d'une veille proactive en cybersécurité, surtout dans un contexte où les infrastructures numériques africaines se développent rapidement. Les acteurs locaux, souvent ciblés pour leur moindre maturité en sécurité, doivent prioriser les mises à jour et les audits réguliers de leurs systèmes d'identité. Keycloak, bien que robuste, n'échappe pas aux risques inhérents aux logiciels open source où la transparence du code s'accompagne d'une exposition accrue aux vulnérabilités.

Pour l'heure, aucune attaque exploitant cette faille n'a été rapportée, mais la divulgation publique du CVE augmente les risques. Les organisations utilisant Keycloak sont donc appelées à vérifier leur version et à appliquer les correctifs immédiatement. Une mesure simple, mais cruciale pour éviter des compromissions aux conséquences potentiellement désastreuses.