- Plusieurs vulnérabilités ont été découvertes dans Keycloak, un outil de gestion des identités et des connexions utilisé par certaines PME et DSI.
- Ces failles pourraient permettre à un attaquant de contourner la politique de sécurité en place.
- Une preuve de concept publique existe pour l’une des vulnérabilités, ce qui augmente le risque d’exploitation réelle.
De quoi s’agit-il ?
Le CERT-FR a publié le 25 août 2026 un avis signalant plusieurs vulnérabilités dans Keycloak. Keycloak est une solution open source souvent utilisée pour gérer les authentifications et les accès dans des environnements professionnels (connexion unique, gestion des utilisateurs, etc.).
Selon le CERT-FR, ces vulnérabilités permettent à un attaquant de provoquer un contournement de la politique de sécurité, ainsi qu’un problème de sécurité que l’éditeur n’a pas détaillé publiquement.
Pourquoi c’est préoccupant ?
Le CERT-FR indique avoir connaissance d’une preuve de concept publique pour l’une de ces vulnérabilités. Concrètement, cela signifie que des informations techniques permettant de reproduire l’attaque sont déjà disponibles en dehors de cercles restreints. Le risque d’exploitation par des personnes malveillantes s’en trouve accru.
Considérer que Keycloak n’est qu’un outil « technique » dont la mise à jour peut attendre. Or, une faille sur un système de gestion des identités peut compromettre l’ensemble des accès qu’il protège. Mieux vaut traiter ces alertes en priorité.
Si Keycloak est géré par un prestataire ou un intégrateur, transmettez-lui cet avis dès aujourd’hui et demandez-lui de confirmer que les correctifs disponibles ont bien été appliqués.
Ce qu’il faut faire concrètement
Si votre organisation utilise Keycloak, vérifiez sans attendre si des mises à jour sont disponibles et appliquez-les. En cas de doute sur la version en production ou sur la marche à suivre, contactez votre responsable informatique ou votre prestataire. L’existence d’une preuve de concept publique rend cette action urgente. Consultez l’avis officiel du CERT-FR pour les détails techniques : CERTFR-2026-AVI-1078.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.