- Plusieurs vulnérabilités ont été découvertes dans Keycloak, le logiciel open source de gestion d’identité et de connexion utilisé par de nombreuses entreprises.
- Les risques sont sérieux : un attaquant peut élever ses privilèges, provoquer une indisponibilité du service ou accéder à des données confidentielles.
- Si vous utilisez Keycloak pour gérer les accès de vos collaborateurs ou clients, une vérification et une mise à jour s’imposent rapidement.
Qu’est-ce que Keycloak et pourquoi est-ce important ?
Keycloak est un outil de gestion des identités et des accès (souvent abrégé IAM). En clair, c’est le système qui permet à vos utilisateurs de se connecter à vos applications internes, souvent via une page de connexion centralisée. Il est très répandu dans les entreprises qui ont modernisé leur infrastructure numérique.
Si votre PME utilise Keycloak — directement ou via un prestataire — les failles découvertes méritent votre attention.
Quels sont les risques concrets ?
Le CERT-FR identifie trois types de risques liés à ces vulnérabilités :
- Élévation de privilèges : un utilisateur malveillant (ou un attaquant qui a obtenu un accès limité) pourrait obtenir des droits supérieurs à ceux qui lui sont normalement accordés — et accéder à des zones réservées aux administrateurs, par exemple.
- Déni de service à distance : un attaquant extérieur pourrait rendre Keycloak indisponible, bloquant ainsi toutes les connexions aux applications qui en dépendent.
- Atteinte à la confidentialité des données : certaines informations pourraient être exposées ou interceptées sans autorisation.
Beaucoup de PME pensent que Keycloak est uniquement l’affaire de leur prestataire ou de leur hébergeur. Mais si vous avez validé le choix de cet outil ou si vous l’exploitez vous-même, la responsabilité de le maintenir à jour vous incombe. Ne partez pas du principe que « quelqu’un s’en occupe » sans l’avoir vérifié explicitement.
Profitez de cet avis pour faire le point avec votre prestataire informatique sur tous les composants logiciels « sensibles » de votre infrastructure — notamment ceux qui gèrent les identités et les accès. Ce type d’outil est une cible privilégiée des attaquants, car le compromettre peut ouvrir la porte à l’ensemble de votre système.
Ce qu’il faut faire concrètement
Vérifiez si Keycloak est utilisé dans votre environnement, que ce soit en interne ou chez un prestataire. Si c’est le cas, demandez à votre équipe technique ou à votre infogérant de consulter l’avis officiel du CERT-FR et d’appliquer les correctifs disponibles sans délai. Consultez l’avis complet ici : CERTFR-2026-AVI-0976 – CERT-FR.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.