多くの企業システムでログイン管理に使われるオープンソースの認証基盤「Keycloak（キークローク）」に、極めて深刻な脆弱性（ぜいじゃくせい、ソフトの安全上の欠陥）が見つかりました。攻撃者がパスワード再設定の仕組みを悪用し、管理者を含むあらゆる利用者のアカウントを乗っ取れる恐れがあります。開発元は8月に修正版を公開しており、システム管理者に早急な更新を呼びかけています。
危険度9.1、操作不要で乗っ取り成立
問題の脆弱性は「CVE-2026-18963」として登録され、危険度を示すCVSSスコアは10点満点中9.1と「緊急」に分類されました。攻撃者は、正規利用者に送られる確認用のメールトークン（本人確認の合言葉）を受け取らなくても、パスワードの再設定手続きを最後まで進められてしまいます。事前のログインも利用者側の操作も一切不要で、乗っ取りが成立する点が深刻です。
原因は再設定処理の「状態管理の不備」
原因は、パスワード再設定の一連の処理（reset-credentialsフロー）における「状態管理の不備」にあります。本来ならメール確認の手順が完了したことを確かめてから次に進むべきところ、その検証を省いても処理が通ってしまう設計上の欠陥でした。管理者アカウントまで奪われれば、システム全体を制御される事態になりかねません。
開発元は、正規版のKeycloakについてバージョン26.7.2への更新を推奨しています。レッドハット版を使う企業には、26.4.15や26.6.6向けの修正が提供されました。現時点で実際に悪用された形跡や、動作する攻撃コードの公開は確認されていませんが、危険度が高いだけに、公表から時間を置かずに攻撃が始まる可能性は否定できません。
日本への影響
Keycloakは、社内システムや会員サイトのシングルサインオン（一度のログインで複数サービスを使える仕組み）に、日本でも幅広く採用されています。金融、通信、製造など、独自にID認証基盤を構築する企業や官公庁のシステムで使われている例は少なくなく、対応が遅れれば顧客情報の流出や不正アクセスといった被害に直結する恐れがあります。
情報システム部門の担当者にとっては、まず自社が使うKeycloakのバージョンを確認し、修正版へ速やかに更新することが最優先となります。すぐに更新できない場合でも、パスワード再設定機能へのアクセス制限や不審なログイン試行の監視を強めるといった暫定的な対策が求められます。一般の利用者としても、重要なサービスでは多要素認証を有効にし、身に覚えのないパスワード変更の通知が届いたらすぐに問い合わせるなど、自衛の意識を持つことが求められます。
まとめ：便利な認証の仕組みも、たった一つの設計ミスが全体を危うくします。使う側も提供する側も、まず「更新できているか」を今日確かめておきたいですね。
出典：
The Hacker News – Critical Keycloak Password Reset Flaw
ThaiCERT – Keycloak Releases Patch for Critical Vulnerability
Security Online – CVE-2026-18963 Unauthenticated Account Takeover
Photo: Wayne Zheng / Unsplash
