Falha crítica no Okta Access Gateway pode permitir execução de comandos no sistema
A Okta divulgou, em 22 de outubro, uma vulnerabilidade de gravidade alta no console administrativo do Access Gateway. Identificada como CVE-2026-115547, a falha pode permitir que um administrador autenticado execute comandos diretamente no sistema operacional do appliance, usando os privilégios da conta de serviço do gateway.
O problema recebeu pontuação 9,1 no CVSS 3.1. A vulnerabilidade está relacionada ao tratamento de dados inseridos no console: determinados valores de configuração são processados sem validação adequada, o que abre espaço para injeção de código. A classificação técnica inclui CWE-94, associada ao controle insuficiente da geração de código, e CWE-20, referente à validação inadequada de entradas.
Estão vulneráveis as versões do appliance anteriores à 2026.10.2. A correção está disponível a partir da versão 2026.10.2, e a Okta não indicou uma medida alternativa para contornar o problema. Por isso, a atualização é a providência recomendada para quem utiliza o produto.
A exploração depende de acesso administrativo ao console. O cenário descrito não aponta para um ataque sem autenticação nem para um mecanismo de contorno de autenticação: o invasor precisaria primeiro obter privilégios elevados. Ainda assim, a avaliação considera que os efeitos podem ultrapassar o componente afetado, pois o vetor tem escopo alterado.
Esse alcance merece atenção porque o Access Gateway atua como intermediário entre sistemas corporativos de identidade e aplicações internas. Caso um invasor consiga executar comandos no appliance, poderá tentar comprometer serviços acessíveis a partir dele ou aproveitar as permissões da conta de serviço. O impacto concreto dependerá da configuração do ambiente e dos acessos concedidos ao gateway.
A empresa não informou que a vulnerabilidade esteja sendo explorada ativamente. O comunicado também não identifica um agente responsável nem apresenta código de exploração. Não foi atribuída a descoberta a um pesquisador externo. A ausência dessas informações, porém, não elimina o risco nem substitui a necessidade de aplicar a correção.
A primeira etapa para as equipes responsáveis é confirmar a versão instalada em cada appliance. Em ambientes com várias instâncias, é importante verificar todas elas, e não apenas o equipamento principal. Depois da atualização, convém validar o funcionamento das integrações e dos acessos às aplicações protegidas.
Também é recomendável revisar a lista de usuários com acesso administrativo ao console. Contas antigas ou sem necessidade operacional devem ser removidas ou ter seus privilégios reduzidos. Sempre que possível, o acesso administrativo deve ficar restrito a pessoas autorizadas e a redes de gerenciamento controladas.
Como medida adicional, as organizações podem examinar os registros do console e do sistema em busca de atividades administrativas incomuns, alterações inesperadas de configuração ou comandos executados fora dos procedimentos habituais. A investigação é especialmente importante se houver indícios de que credenciais administrativas foram expostas.
No mesmo dia, a Okta publicou outros avisos de segurança relacionados ao Access Gateway. Um deles trata da verificação da origem de autenticação e está associado à CVE-2026-115546. Os demais abordam falhas de execução de PHP, identificadas como CVE-2026-109618 e CVE-2026-109619.
Esses comunicados devem ser analisados separadamente, pois cada vulnerabilidade pode ter requisitos e correções próprios. Administradores devem consultar a versão afetada e as instruções de atualização correspondentes a cada falha, em vez de presumir que a correção de um problema resolva os demais.
Para reduzir riscos futuros, vale manter um inventário atualizado dos appliances, acompanhar os avisos de segurança dos fornecedores e planejar a aplicação de atualizações em prazos compatíveis com a gravidade das falhas. No caso da CVE-2026-115547, a recomendação central é direta: atualizar para a versão 2026.10.2 ou posterior e limitar cuidadosamente quem pode administrar o gateway.