Okta Access Gateway · Divulgada

Okta corrige execução de comandos e bypass no Access Gateway

21 de out. de 2026 · 1 min de leitura

O Okta publicou em 22 de outubro de 2026 correções para o Access Gateway: execução de comandos via entrada no Admin Console (CVE-2026-115547) e bypass de autenticação que pode gerar asserção SAML com acesso ao Admin Console (CVE-2026-115546), ambas resolvidas na versão 2026.10.2. A versão 2026.44.0 inclui o PHP 8.3.36 e resolve o PHP2Shell (CVE-2026-109618 e CVE-2026-109619); o Okta afirma que PoCs públicas não executaram código na configuração padrão. Clientes com appliance on-premises devem atualizar para 2026.44.0, conforme recomendação do Okta.

Por Redação HIFY Radar Atualizado 26/10/2026 13:11 Receba isso todo dia →← Voltar ao feed 2 fontes

AltaFalhaDivulgadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

O Okta corrigiu falhas no Access Gateway, appliance on-premises que autentica acesso a aplicativos. Uma falha permitia executar comandos via entrada no Admin Console e outra permitia bypass de autenticação com acesso ao console. Há ainda falhas críticas do PHP embutido no produto, o PHP2Shell. As correções estão nas versões 2026.10.2 e 2026.44.0.

Por que importa

O Access Gateway concentra o login de funcionários aos sistemas corporativos; falhas no console administrativo podem comprometer o controle de acesso de toda a empresa. Segundo o Okta, os serviços de nuvem do Okta e do Auth0 não são afetados; o risco está nos appliances instalados on-premises. O Okta testou PoCs públicas do PHP2Shell e nenhuma executou código na configuração padrão do produto.

O que fazer

Atualize o appliance para a versão 2026.44.0 ou superior; isso atende ao mínimo de 2026.10.2 para as duas CVEs do OAG e inclui o PHP 8.3.36. Depois, revise as fontes de autenticação configuradas no gateway e os logs de acesso ao Admin Console.

Para o time técnico

CVE: CVE-2026-115547, CVE-2026-115546
Afetados: Okta Access Gateway (appliance on-premises) · Okta Access Gateway antes de 2026.10.2 (CVE-2026-115547 e CVE-2026-115546); OAG com PHP 8.3.x antes de 8.3.36, ou seja, appliance antes de 2026.44.0 (PHP2Shell).
Exploração: Okta afirma ter testado PoCs públicas do PHP2Shell contra o OAG em configuração padrão e nenhuma alcançou execução de código; a configuração padrão mitiga a exploração conhecida. As fontes não relatam exploração em campo para nenhuma das CVEs.
Correção: Atualizar o appliance OAG para 2026.10.2 ou superior resolve CVE-2026-115547 e CVE-2026-115546. A versão 2026.44.0 inclui PHP 8.3.36 e resolve o PHP2Shell; o Okta recomenda 2026.44.0.
Vetor: CVE-2026-115547: execução de comandos via entrada no Admin Console do OAG (gravidade de referência: crítica). CVE-2026-115546: bypass de autenticação; o OAG não valida a fonte de autenticação selecionada no sign-on. Usuário autenticado com sessão ativa modifica o parâmetro da fonte e pode gerar asserção SAML com acesso ao Admin Console (CWE-639 e CWE-287; CVSS 3.1: 8.1). PHP2Shell: RCE pré-autenticação no runtime PHP 8.3.x incluído no OAG (CVE-2026-109618 e CVE-2026-109619, CVSS 9.2 cada).
Mais detalhes: Advisories publicados em 22 de outubro de 2026; PHP2Shell divulgado em 21 de outubro de 2026 como falhas de terceiros que afetam o setor. Serviços de nuvem do Okta e Auth0 não são afetados pelo PHP2Shell. Pré-condição do CVE-2026-115546: sessão válida em qualquer fonte de autenticação configurada no gateway. Vetor CVSS do CVE-2026-115546: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H.