Okta Access Gateway: Befehlsausführung über Eingaben in der Admin Console
Zusammenfassung
Okta-Access-Gateway-(OAG)-Appliances vor Version 2026.10.2 enthalten in der Admin Console einen Fehler bei der Eingabevalidierung, durch den speziell formatierte Konfigurationswerte als Systembefehle verarbeitet werden können. Ein authentifizierter Administrator kann dies nutzen, um Befehle im Kontext des OAG-Dienstkontos auszuführen, was das Gateway betreffen kann, das vor internen Anwendungen steht. Die Ausnutzung setzt gültigen Administratorzugriff auf die Admin Console voraus.
Betroffen
- Okta-Access-Gateway-Appliance-Versionen vor 2026.10.2 (VulDB nennt den Bereich bis 2026.10.1)
- Standardkonfiguration: laut CVE-Eintrag nicht betroffen
- Die Version 2026.9.1 erfüllt die minimal gepatchte Version nicht
Behoben in
- Auf Okta Access Gateway 2026.10.2 oder neuer aktualisieren
- Okta empfiehlt 2026.44.0, das auch die verwandten PHP-Laufzeitlücken CVE-2026-109618 und CVE-2026-109619 behebt
Umgehung
- Kein Workaround vom Hersteller dokumentiert. Das Aktualisieren ist die Behebung.
Ausnutzung
- Das Okta-Advisory meldet keine bekannte Ausnutzung.
- Ein Sekundärbericht gibt an, dass CISA die Ausnutzung als none einstuft; dies wurde nicht auf einer CISA-Seite verifiziert.
- In den geprüften Quellen wurde kein öffentlicher Proof-of-Concept-Exploit gefunden.
- Die verwandten PHP-Lücken CVE-2026-109618 und CVE-2026-109619 werden in einer Sekundärquelle als ausgenutzt bezeichnet.
Unsere Empfehlung
- Alle OAG-Appliances auf 2026.10.2 oder neuer aktualisieren, oder auf 2026.44.0, um auch die PHP-Korrekturen abzudecken. Zuerst die aktuelle Version prüfen.
- Appliances unterhalb 2026.10.2 mit erreichbarer Admin Console als hohe Priorität behandeln.
- Konten der Admin Console überprüfen und reduzieren sowie die Verwaltungszugriffe auf vertrauenswürdige IP-Bereiche beschränken.
- OAG-Admin- und Konfigurationslogs auf unerwartete Änderungen prüfen.
- Nicht davon ausgehen, dass ein Patch vom September 2026 diese CVE abdeckt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Okta Security Advisory CVE-2026-115547 trust.okta.com
- VulDB CVE-2026-115547 vuldb.com
- VulDB 425555 vuldb.com
- Cyberkendra analysis CVE-2026-115547 www.cyberkendra.com
- SecurityOnline PHP2Shell and Okta Access Gateway vulnerabilities securityonline.info
- GBHackers critical Okta Access Gateway vulnerability gbhackers.com
- SQ Magazine Okta Access Gateway CVE-2026-115547 sqmagazine.co.uk
- Rescana CVE-2026-115547 impact and mitigation www.rescana.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.