Уязвимость внедрения кода в Okta Access Gateway позволяет администратору консоли выполнять системные команды на устройстве. Команды исполняются от имени служебной учётной записи, под которой работает служба Okta Access Gateway. Пользователь без административных прав воспользоваться ошибкой не может. Затронуты устройства Okta Access Gateway, не обновлённые до исправленного выпуска.
Условия эксплуатации CVE-2026-115547
Причина - недостаточная проверка входных данных. Консоль администрирования - это веб-интерфейс, через который настраивают устройство. Она принимает специально оформленные значения конфигурации и не отбрасывает их. Внедрение кода означает, что входные данные начинают восприниматься как часть исполняемой конструкции.
В результате администратор, уже вошедший в консоль, переходит от управления настройками к выполнению команд операционной системы. Служебная учётная запись - отдельный пользователь системы, от имени которого работает сама служба. Вендор относит ошибку к внедрению кода и к недостаточной проверке входных данных.
Атака идёт по сети: запросы поступают в консоль удалённо. Сложность низкая, участие пользователя не требуется. Учётные данные администратора при этом нужны, поэтому обойти вход в консоль одной этой ошибкой нельзя. Вендор оценил влияние на конфиденциальность, целостность и доступность как высокое.
Изменение области воздействия означает, что ошибка в одном компоненте даёт последствия в другом. CVSS - общая шкала серьёзности уязвимостей, где 10 - верхняя граница. Оценка - 9.1 из 10.
Что именно получает атакующий, зависит от прав службы. Системные команды - это команды операционной системы устройства, а не действия в веб-интерфейсе. Уведомление не уточняет, какие привилегии есть у служебной учётной записи Okta Access Gateway. Оно также не раскрывает, какие значения конфигурации приводят к выполнению команд. Из описания следует одно: команды исполняются в контексте службы устройства, а не в контексте браузера администратора.
Уязвимы устройства Okta Access Gateway с версиями ниже 2026.10.2. Исправление вышло в версии 2026.10.2. Вендор рекомендует обновить устройство до неё или до более позднего выпуска. Обновление ставится на всё устройство, а не на отдельный модуль. Отдельных патчей для более ранних выпусков уведомление не упоминает.
Сведений об эксплуатации в реальных атаках в уведомлении нет. Публичное раскрытие деталей означает, что сведения об ошибке стали доступны, а не то, что её уже используют. О публикации эксплойта уведомление тоже молчит. Когда именно ставить обновление, вендор не указывает. Обходных мер в уведомлении нет: единственное предложенное действие - обновление.
Ошибке присвоен идентификатор CVE-2026-115547. CVE - общий номер уязвимости, по которому сведения о ней находят в разных базах. Номер нужен для поиска и для сверки с другими уведомлениями. Описание опубликовано 22 октября 2026 года.
Порог входа у этой ошибки высокий: нужен действующий административный доступ. Однако администратор консоли и раньше управлял настройками, а теперь может выполнять команды операционной системы. Круг таких людей определяет масштаб риска. Там, где доступ к консоли выдан широко, обновление до версии 2026.10.2 выполняют в первую очередь. Пока обновление не установлено, консоль остаётся точкой выхода на уровень операционной системы.
Ссылки
