Foi identificada uma vulnerabilidade crítica de execução de comandos no Okta Access Gateway (OAG), que poderia permitir que um administrador autenticado execute comandos do sistema ao enviar valores de configuração formatados de maneira específica pelo console de administração (Admin Console) do dispositivo (appliance). Essa vulnerabilidade está documentada em um alerta de segurança datado de 22 de outubro de 2026.
Registrada como CVE-2026-115547 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns), a falha afeta versões do equipamento OAG lançadas antes da versão 2026.10.2. O alerta atribui à vulnerabilidade uma pontuação de 9,1 no CVSS v3.1 (sigla de Common Vulnerability Scoring System, ou Sistema de Pontuação de Vulnerabilidades Comuns), o que indica sua gravidade, e destaca a versão 2026.10.2 como a que contém a correção necessária.
A exploração dessa vulnerabilidade exige acesso administrativo ao Admin Console do OAG. Essa exigência a diferencia das vulnerabilidades de execução remota de comandos sem autenticação, pois o invasor já precisa ter os privilégios administrativos necessários para acionar o processamento vulnerável da configuração.
Vulnerabilidade crítica no Okta Access Gateway
A falha decorre de validação insuficiente dos valores de configuração processados pela interface administrativa. Um administrador autenticado pode fornecer uma entrada formatada de maneira específica que executa comandos do sistema no contexto da conta de serviço do OAG.
O alerta classifica a vulnerabilidade como falha de injeção de código. Ela está associada à CWE-94 (sigla de Common Weakness Enumeration, ou Enumeração de Fraquezas Comuns, correspondente a Controle Impróprio da Geração de Código) e à CWE-20 (Validação Imprópria de Entrada).
O alerta não especifica o campo de configuração afetado, não fornece um exemplo de carga útil (payload) nem descreve como o comando é invocado. Além disso, não confirma se a exploração bem-sucedida concede privilégios de root, pois o contexto de execução está especificamente ligado à conta de serviço do OAG.
Essa distinção é importante na avaliação das possíveis consequências. Os comandos que um invasor pode executar, os recursos que pode explorar e as oportunidades de comprometimento adicional dependem das permissões atribuídas a essa conta e da configuração geral do equipamento.
O vetor CVSS informado é CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H. As métricas indicam exploração pela rede, com baixa complexidade de ataque, privilégios altos exigidos e nenhuma interação adicional do usuário.
O vetor também reflete um escopo alterado e impactos potencialmente significativos sobre confidencialidade, integridade e disponibilidade, de acordo com a estrutura do CVSS v3.1.
Embora a necessidade de acesso administrativo limite quem pode iniciar a exploração, isso não reduz a gravidade da vulnerabilidade, já que ela permite a execução de comandos do sistema operacional por meio de uma interface de gerenciamento de aplicações.
O alerta não relata nenhuma exploração ativa conhecida, não identifica um agente de ameaça específico nem faz referência a código de exploração disponível publicamente. Esses detalhes devem permanecer não confirmados, e não presumidos apenas com base na classificação de gravidade crítica.
A correção recomendada é atualizar todos os equipamentos Okta Access Gateway afetados para a versão 2026.10.2 ou superior. Versões anteriores continuam vulneráveis, conforme afirma o alerta.
As equipes de segurança devem verificar as versões implantadas dos equipamentos e priorizar a atualização. Medidas defensivas adicionais incluem revisar os acessos administrativos e investigar alterações inesperadas de configuração. No entanto, essas medidas não substituem a instalação da versão corrigida.
A principal preocupação é a passagem do acesso privilegiado ao console para a execução de comandos sob a conta de serviço. Os esforços de correção devem se concentrar em corrigir o caminho de processamento vulnerável, em vez de presumir que usuários administrativos são inerentemente confiáveis dentro da estrutura de segurança da organização.
