- Une vulnérabilité a été identifiée dans KeyCloak, l’outil de gestion des connexions et des identités utilisé par de nombreuses organisations.
- Selon le CERT-FR, elle pourrait permettre à un attaquant de contourner la politique de sécurité en place.
- Si vous utilisez KeyCloak, vérifiez rapidement si une mise à jour est disponible auprès de l’éditeur.
Qu’est-ce que KeyCloak ?
KeyCloak est un logiciel open source qui gère les identités et les accès : il permet notamment aux utilisateurs de se connecter à plusieurs applications avec un seul compte (ce qu’on appelle le « Single Sign-On »). Il est utilisé aussi bien par des PME que par de grandes entreprises pour centraliser et sécuriser les connexions.
Quelle est la nature de cette vulnérabilité ?
Le CERT-FR a publié le 17 septembre 2026 un avis signalant une vulnérabilité dans KeyCloak. Cette faille pourrait permettre à un attaquant de contourner la politique de sécurité définie dans l’outil. En clair, des règles d’accès ou des restrictions mises en place par votre équipe pourraient être ignorées ou déjouées.
La description fournie par le CERT-FR ne précise pas davantage le mode opératoire ni les conditions exactes d’exploitation. Restez attentif aux informations complémentaires que l’éditeur pourrait publier.
Beaucoup de structures pensent que KeyCloak, étant un outil de sécurité, est forcément à jour et protégé. Comme tout logiciel, il doit lui aussi recevoir ses correctifs dès qu’une faille est signalée.
Si KeyCloak est géré par un prestataire ou un hébergeur, contactez-le directement pour savoir si la mise à jour corrective a déjà été appliquée. N’attendez pas qu’il vous contacte en premier.
Ce qu’il faut faire concrètement
Identifiez si votre organisation utilise KeyCloak, et dans quelle version. Consultez le site de l’éditeur pour savoir si un correctif est disponible, et appliquez-le dès que possible. Si la gestion de cet outil est confiée à un prestataire, interrogez-le sur les mesures déjà prises. Consultez régulièrement l’avis officiel du CERT-FR pour suivre les éventuelles mises à jour de cette alerte : CERTFR-2026-AVI-1195.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.