Okta ha revelado un fallo de seguridad crítico en Okta Access Gateway que permite que un administrador autenticado ejecute comandos del sistema a través de la Consola de Administración del dispositivo.

Identificada como CVE-2026-115547, la vulnerabilidad afecta a las versiones anteriores a la 2026.10.2 y tiene una puntuación CVSS v3.1 de 9.1, según el aviso del 22 de octubre de 2026. El problema radica en una validación de entrada débil cuando la Consola de Administración procesa valores de configuración con un formato especial.

Un atacante con acceso administrativo puede utilizar esos valores para provocar la ejecución de comandos bajo la cuenta de servicio del OAG. La divulgación no describe un ataque sin autenticación.

El fallo se encuentra donde la entrada de configuración administrativa llega a las funciones de procesamiento dentro de la pasarela. En lugar de tratar los valores suministrados estrictamente como datos de configuración, el software afectado puede permitir que una entrada manipulada conduzca a la ejecución de comandos del sistema.

Fallo de Okta Access Gateway

Okta clasifica el problema bajo CWE-94 (control inadecuado de la generación de código) y CWE-20 (validación inadecuada de la entrada). El acceso requerido es una limitación importante: tú, como atacante, deberías primero obtener acceso administrativo a la Consola de Administración de OAG.

Una cuenta de aplicación normal por sí sola no cumple las condiciones establecidas, y el aviso no identifica ningún bypass de autenticación que elimine este requisito.

La explotación exitosa ejecuta comandos con los permisos de la cuenta de servicio de OAG. Esto no es lo mismo que un acceso root confirmado. El daño potencial depende de lo que esa cuenta pueda leer, cambiar o ejecutar, por lo que sus permisos reales son importantes cuando evalúes la exposición.

El vector CVSS v3.1 proporcionado describe un ataque de red con baja complejidad, altos privilegios requeridos y sin interacción del usuario. También asigna un impacto alto a la confidencialidad, integridad y disponibilidad, con un alcance modificado.

Si tu organización utiliza versiones de Okta Access Gateway anteriores a la 2026.10.2, deberías actualizar a la versión 2026.10.2 o posterior. La divulgación identifica esa versión como la solución y no proporciona una alternativa temporal.

El parche sigue a correcciones de seguridad anteriores de Okta Access Gateway y Auth0 que cubrían el bypass de autorización, la inyección SQL y el cross-site scripting almacenado.

Aquellos problemas de septiembre tenían requisitos y soluciones diferentes, por lo que la actualización anterior de Access Gateway 2026.9.1 no cumple con la versión mínima parcheada de este aviso.

También deberías revisar quién puede acceder a la consola de gestión e investigar cambios de configuración inesperados. Informes previos sobre el abuso de sesiones de administrador de Okta en 1Password muestran por qué es importante proteger las sesiones privilegiadas, aunque ese incidente es independiente de esta vulnerabilidad.

El aviso proporcionado no informa de una explotación activa, no publica payloads de ataque ni identifica el campo de configuración afectado. Esas lagunas no prueban que la explotación sea imposible. Tus equipos deberían priorizar la actualización del dispositivo y consultar el portal de avisos de seguridad de Okta para obtener más orientación a medida que haya más detalles disponibles.