A Okta publicou em 22 de outubro um aviso sobre a CVE-2026-115547, falha de injeção de código no console administrativo do Access Gateway. Um administrador autenticado consegue executar comandos no sistema com as permissões da conta de serviço do gateway. A nota é 9.1 na escala CVSS 3.1.
O problema está na validação de entrada do console, que processa valores de configuração em formato específico. A classificação aponta CWE-94, controle inadequado da geração de código, e CWE-20, validação inadequada de entrada.
São afetadas as versões do appliance anteriores à 2026.10.2, e a correção está na 2026.10.2 ou superior. O aviso não oferece contorno, então atualizar é o único caminho indicado.
A exploração exige acesso administrativo ao console do Access Gateway. O vetor registra privilégio alto como pré-requisito e escopo alterado, o que indica impacto além do componente vulnerável. O aviso não descreve ataque sem autenticação nem desvio de autenticação.
Mesmo com esse pré-requisito, a nota alta tem razão de ser. O Access Gateway fica na frente de aplicações internas e faz a ponte entre elas e a identidade corporativa, e uma conta de serviço capaz de executar comandos no appliance alcança o que está atrás dele.
No mesmo 22 de outubro, a Okta publicou outros dois avisos para o produto. Um trata de verificação de fonte de autenticação, a CVE-2026-115546. O outro cobre as falhas de execução do PHP, CVE-2026-109618 e CVE-2026-109619, as mesmas que a Palo Alto confirmou no PAN-OS.
O aviso não relata exploração ativa, não nomeia agente de ameaça e não traz código de exploração, e a Okta não credita pesquisador externo pela descoberta. Para quem opera o produto, a verificação é direta: conferir a versão instalada e revisar quem tem acesso administrativo ao console.
