Okta Access Gatewayに欠陥3件 管理画面の乗っ取りの恐れ、版を上げる

Oktaは2026年10月22日、社内に置く認証の製品「Okta Access Gateway(OAG)」の欠陥を、3つの勧告で公表しました。OAGは、古い社内のアプリの手前に置いて、Oktaのシングルサインオンにつなぐための装置です。

2つは、管理の画面を乗っ取られる恐れのある欠陥です。もう1つは、中に入っているPHPが、10月21日に公開された「php2shell」の対象になっている件です。OktaとAuth0のクラウドのサービスの話ではありません。

3つの勧告

CVE-2026-115546は、どの認証元でもよいので、ゲートウェイでサインインできる人が出発点になります。社員や取引先など、OAGを通してアプリを使う人の数が多いほど、条件に当たる人も増えます(当社の見立て)。CVE-2026-115547は管理者の権限が要りますが、115546で管理画面に入られた場合は、続けて使われる恐れがあります(当社の見立て)。

3つの勧告には、悪用の有無は書かれていません。回避策も書かれておらず、どれも版を上げるよう求めています。

版の番号が2つある

CVE-2026-115546と115547は「2026.10.2」、php2shellは「2026.44.0」で直ったと、それぞれの勧告に書かれています。2つの版の番号の関係は、勧告には書かれていません。上げる前に、Oktaの最新の版の案内で、両方を満たす版を確かめます(当社の見立て)。

php2shellの全体の状況と、ほかのメーカーの対応は、PHPの重大な脆弱性「php2shell」 各国が警戒、攻撃も観測 すぐ更新をにまとめています。

影響する会社・しない会社

• 影響する: Okta Access Gatewayを社内やクラウドの仮想マシンに置き、古い社内のアプリのシングルサインオンに使っている会社です。2026.10.2より前と、2026.44.0より前の版が対象です。
• 影響する: 委託先がOAGを運用している会社です。版と上げる予定を確かめます。
• 影響しない(勧告の範囲では): OktaとAuth0のクラウドのサービスだけを使い、OAGを置いていない会社です。

情シスが今日やること

1. OAGがあるかを確かめる。 社内やクラウドに、Okta Access Gatewayの装置があるかを、Oktaの管理の担当とインフラの担当に聞きます。
2. 版を確かめ、上げる。 今の版を見て、勧告の2つの版(2026.10.2と2026.44.0)を満たす版に上げます。認証の装置なので、止める時間と戻し方を決めてから進めます。
3. 管理画面の入り方を絞る。 管理画面に入れるネットワークと管理者を絞ります。上げるまでの間は、とくに外から管理画面に届かないかを確かめます(当社の見立て)。
4. 記録を見る。 管理画面へのサインインと、設定の変更の記録で、思いがけない管理者の操作が無いかを確かめます。不審な点があれば、記録を残してからOktaのサポートに相談します(当社の見立て)。