Okta Access Gateway（OAG）に、重大なコマンド実行の脆弱性が見つかりました。認証済みの管理者が、アプライアンスの管理コンソール（Admin Console）で特別な形式の設定値を送信すると、システムコマンドを実行できてしまいます。この脆弱性は、2026年10月22日付のセキュリティアドバイザリで公表されました。
脆弱性は CVE-2026-115547 として追跡されており、2026.10.2 より前にリリースされたバージョンの OAG アプライアンスが影響を受けます。アドバイザリは CVSS v3.1 のスコアを 9.1 と評価しており、深刻度は極めて高いといえます。修正を含むリリースとして、バージョン 2026.10.2 を案内しています。
この脆弱性を悪用するには、OAG 管理コンソールへの管理者アクセスが必要です。攻撃者が脆弱な設定処理を引き起こすには、あらかじめ管理者権限を持っていなければなりません。この点で、認証不要のリモートコマンド実行の脆弱性とは性質が異なります。
Okta Access Gateway の深刻な脆弱性
原因は、管理インターフェースを通じて処理される設定値の検証が不十分なことです。認証済みの管理者が特別な形式の入力を与えると、OAG のサービスアカウントの権限でシステムコマンドが実行されます。
アドバイザリは、この脆弱性をコードインジェクションの欠陥に分類しています。関連する CWE は、CWE-94（コード生成の不適切な制御）と CWE-20（不適切な入力検証）です。
一方で、アドバイザリには、影響を受ける設定項目や攻撃用ペイロードの例、コマンドが呼び出される仕組みは記載されていません。攻略に成功した場合に root 権限を取得できるかどうかも確認されておらず、実行されるコンテキストは OAG のサービスアカウントに限定されると説明されています。
この違いは、想定される被害を見積もるうえで重要です。攻撃者が実行できるコマンド、悪用できるリソース、さらなる侵害の余地は、そのアカウントに割り当てられた権限とアプライアンス全体の構成によって変わります。
公表された CVSS ベクターは CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H です。ネットワーク経由で攻撃でき、攻撃の複雑さは低く、高い権限が必要で、追加のユーザー操作は不要という評価です。
CVSS v3.1 の枠組みでは、このベクターは影響範囲の変化（スコープ変更）も示しています。機密性、完全性、可用性のすべてに大きな影響が及ぶ可能性があります。
管理者アクセスが必要なため、攻撃を開始できる人は限られます。しかし、アプリケーションの管理インターフェースからオペレーティングシステムのコマンドを実行できる以上、脆弱性の深刻さが下がるわけではありません。
アドバイザリは、悪用が確認されているとは報告していません。特定の攻撃グループにも言及せず、公開済みのエクスプロイトコードにも触れていません。深刻度が「重大」と評価されているからといって、こうした点を推測で補うべきではなく、未確認のものとして扱う必要があります。
推奨される対処は、影響を受けるすべての Okta Access Gateway アプライアンスをバージョン 2026.10.2 以降へアップグレードすることです。アドバイザリによると、このリリースより前のバージョンは脆弱なままです。
セキュリティチームは、導入済みのアプライアンスのバージョンを確認し、アップグレードを優先してください。管理者アクセスの見直しや、想定外の設定変更の調査も有効な防御策です。ただし、これらは修正版の適用の代わりにはなりません。
最大の懸念は、特権を持つコンソールへのアクセスが、サービスアカウント権限でのコマンド実行につながる点です。組織のセキュリティ体制のなかで管理者ユーザーを無条件に信頼できると考えず、脆弱な処理経路そのものを修正することに注力する必要があります。
サイバー脅威を被害が出る前に阻止し、MTTR を21分短縮。ANYRUN のサンドボックスを SOC に導入。
翻訳元: https://gbhackers.com/critical-okta-access-gateway-vulnerability/
