Okta Access Gateway管理画面にコマンド実行の欠陥、修正版あり
Okta Access Gateway(OAG)の管理コンソールに、管理者が任意のシステムコマンドを実行できてしまう入力検証の欠陥が見つかりました。2026.10.2 より前の版が対象で、修正版 2026.10.2 が公開されています。OAG を運用している組織は、版の確認と更新の計画、管理コンソールへのアクセス制限の見直しを進めてください。
急ぎ度: 早めに
CVSSは9.1と深刻ですが、悪用には管理者としてのログインが必要で、実際の攻撃で悪用されたという公表も現時点ではないため、至急ではなく早めの更新が妥当です。
関係があるか
Okta Access Gatewayを自社で運用し、管理コンソールを使っている組織が対象です。管理者アカウントが奪われた場合や、管理コンソールに広い範囲から接続できる場合は、影響が大きくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Okta Access Gateway | 2026.10.2より前の版 | 2026.10.2 |
確かめ方
- 1自社でOkta Access Gatewayを稼働させているかを、情報システム部門や認証基盤の担当者に確認します。
- 2稼働しているOAGの版が2026.10.2より前かどうかを確認します。版の確認方法は、Oktaの運用手順書や公式の案内に従ってください。
- 3管理コンソールにどのネットワークから接続できるか、管理者アカウントが何件あるかを棚卸しします。管理者が多く、接続元の制限が緩いほど、リスクは高くなります。
何が起きたか
Okta Access Gateway(OAG)の管理コンソールで、設定値として入力された内容の確認が不十分なため、特別な形式の値がそのまま処理されてしまう弱点が見つかりました。管理者としてログインできる人が、この弱点を使ってOAGを動かしているサーバー上でシステムコマンドを実行できます。実行されるのはOAGのサービスアカウントの権限の範囲です。
分類としては、入力検証の不備（CWE-20）とコード実行につながる問題（CWE-94）に当たります。CVSS v3.1の基本値は9.1で、深刻度は「緊急」です。攻撃は管理者権限を持つ者に限られますが（PR:H）、ネットワーク経由で、利用者の操作なしに実行できます。また、影響が管理コンソールの範囲を超えて及ぶ評価（S:C）になっています。
修正はOAG 2026.10.2で提供されています。Oktaが公開している告知は2026年10月23日に公表されたものです。
攻撃の流れ
-
1
管理者権限の入手
攻撃者が正規の管理者としてログインできる状態になります。アカウントの流出や内部者による不正が想定されます。
-
2
設定値の入力
管理コンソールの設定項目に、特別な形式の値が入力されます。
-
3
検証をすり抜ける
入力検証が不十分なため、値が設定として処理されます。
-
4
コマンドの実行
OAGのサービスアカウントの権限で、サーバー上のシステムコマンドが動きます。
-
5
被害の拡大
OAGが仲介する認証情報や、接続先の社内システムにまで影響が及ぶおそれがあります。
どう悪用されるか
悪用には、OAGの管理コンソールに管理者として認証済みであることが必要です。ネットワーク経由で攻撃でき、特別な操作を求められる利用者はいません。管理者権限が前提のため、誰でも直ちに攻撃できる弱点ではありません。ただし、管理者アカウントの認証情報が盗まれた場合や、管理コンソールがインターネットや広い社内ネットワークに公開されている場合は、前提が満たされやすくなります。
悪用された場合、OAGのサーバー上で任意のコマンドが動き、機密性・完全性・可用性のすべてに高い影響が出ると評価されています。OAGは社内アプリケーションへのアクセスを仲介する装置なので、設定や認証に関わる情報の漏えいや改ざん、サービス停止、他の社内システムへの足がかりにされることが懸念されます。
なお、この弱点が実際の攻撃で悪用されたという情報は、現時点では公表されていません。
今すぐやること
-
1
稼働中のOAGの版を確認する
OAGを運用している環境をすべて洗い出し、版が2026.10.2より前でないかを確かめます。検証環境や、あまり使われていない環境も含めてください。
-
2
2026.10.2以降へ更新する
修正版2026.10.2への更新を計画し、実施します。更新の手順と注意点は、Oktaの告知と製品の文書で確認してください。認証基盤に関わるため、メンテナンス時間の確保と事前の設定バックアップを忘れないようにします。
-
3
管理コンソールへの接続元を絞る
管理コンソールには、管理用のネットワークや特定の端末からだけ接続できるようにします。インターネットから直接届く状態になっていないかも確認します。
-
4
管理者アカウントを見直す
不要になった管理者アカウントの削除、パスワードの強化、多要素認証の適用を確認します。この弱点は管理者権限が前提のため、アカウントを守ることが直接の対策になります。
-
5
管理コンソールの操作記録を確認する
身に覚えのない設定変更や、普段と違う時間帯・接続元からのログインがないかを点検します。異常があれば、更新前でも担当部署に報告してください。
すぐ更新できないとき
Oktaが公開した回避策は、現時点で確認できていません。修正版への更新が基本の対応です。更新まで時間がかかる場合は、管理コンソールへの接続元の制限、管理者アカウントの最小化、多要素認証の徹底によって、悪用の前提である管理者権限を奪われにくくしてください。これらは一般的な防御策であり、弱点そのものをふさぐものではありません。
背景
Okta Access Gatewayは、社内に残るオンプレミスのアプリケーションを、Oktaのシングルサインオンや多要素認証につなぐための仲介装置です。多くの社内システムの入口に位置するため、ここが乗っ取られると、認証の仕組みだけでなく、背後にあるアプリケーションにも影響が及ぶおそれがあります。
管理画面から入力した設定値が、検証不足のままシステムコマンドとして扱われてしまう弱点は、ネットワーク機器やゲートウェイ製品の分野で繰り返し問題になってきた種類のものです。管理者専用の画面は「信頼できる人しか触れない」と考えられがちですが、アカウントの流出や内部者の不正があれば前提が崩れます。そのため、管理画面の欠陥も、修正を後回しにしない方がよいとされています。
よくある質問
Q.管理者しか悪用できないなら、急がなくてもよいですか。
Q.すでに悪用されていますか。
Q.自社が影響を受けるかどうかは、どう判断すればよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうか、攻撃を確認した事例があるかは公表されていません。
- 更新できない場合の公式な回避策は、現時点で明らかになっていません。
- 2026.10.2より前の各版について、修正を別途提供する計画があるかは公表されていません。Oktaの告知で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Okta | Okta Access Gateway |
2026.10.2 未満 |
2026.10.2 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An input validation issue in the Okta Access Gateway (OAG) Admin Console allows the processing of specially formatted configuration values. An authenticated administrator can leverage this to execute system commands within the context of the OAG service account.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt@okta.com
- web nvd.nist.gov
- web github.com