สรุปสั้น

บริษัท Okta เปิดเผยช่องโหว่ระดับวิกฤตใน Okta Access Gateway (OAG) อุปกรณ์เกตเวย์ที่องค์กรใช้เชื่อมแอปพลิเคชันในองค์กรแบบเดิม (on-premises) เข้ากับระบบยืนยันตัวตนและ SSO ของ Okta ช่องโหว่นี้ติดตามในชื่อ CVE-2026-115547 กระทบทุกเวอร์ชันก่อน 2026.10.2 คะแนน CVSS v3.1 อยู่ที่ 9.1 ตามประกาศความปลอดภัยลงวันที่ 22 ตุลาคม 2569 ต้นเหตุ คือ การตรวจสอบอินพุตที่ไม่รัดกุมเมื่อ Admin Console ประมวลผลค่าคอนฟิกที่จัดรูปแบบมาเป็นพิเศษ ผู้โจมตีที่มีสิทธิ์ผู้ดูแลระบบจึงใช้ค่าเหล่านั้นสั่งรันคำสั่งระบบด้วยสิทธิ์ของบัญชีบริการ OAG ได้

ข้อจำกัดสำคัญ คือ ผู้โจมตีต้องเข้าถึง Admin Console ด้วยสิทธิ์แอดมินก่อน บัญชีแอปพลิเคชันทั่วไปไม่เข้าเงื่อนไข และประกาศไม่ได้ระบุช่องทางข้ามการยืนยันตัวตนที่ตัดเงื่อนไขนี้ออกไป Okta ยังไม่รายงานการใช้ช่องโหว่โจมตีจริง ไม่เผยแพร่เพย์โหลด และไม่ระบุว่าช่องคอนฟิกใดได้รับผลกระทบ ขณะเดียวกันก็ไม่มีวิธีแก้ชั่วคราว ทางเดียว คือ อัปเดตเป็นเวอร์ชัน 2026.10.2 ขึ้นไป ผู้ที่อัปเดตเป็น 2026.9.1 ตามประกาศเดือนกันยายนไปแล้วยังถือว่าไม่ปลอดภัยจากช่องโหว่นี้

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 23 ตุลาคม 2569 ว่าช่องโหว่อยู่ตรงจุดที่ค่าคอนฟิกที่ผู้ดูแลระบบป้อนเข้าไปถูกส่งต่อไปยังฟังก์ชันประมวลผลภายในเกตเวย์ แทนที่ซอฟต์แวร์จะถือว่าค่าเหล่านั้นเป็นข้อมูลคอนฟิกเท่านั้น อินพุตที่ถูกประดิษฐ์ขึ้นกลับนำไปสู่การรันคำสั่งระบบได้ Okta จัดช่องโหว่นี้อยู่ในกลุ่ม CWE-94 การควบคุมการสร้างโค้ดไม่เหมาะสม และ CWE-20 การตรวจสอบอินพุตไม่เหมาะสม

รายงานย้ำว่าการรันคำสั่งด้วยสิทธิ์บัญชีบริการ OAG ไม่ได้เท่ากับได้สิทธิ์ root ที่ยืนยันแล้ว ความเสียหายจริงขึ้นกับว่าบัญชีนั้นอ่าน เปลี่ยน หรือรันอะไรได้บ้าง ผู้ดูแลจึงควรตรวจสิทธิ์จริงของบัญชีบริการเมื่อประเมินความเสี่ยง แพตช์นี้ออกตามหลังการแก้ช่องโหว่ชุดก่อนหน้าของ Okta Access Gateway และ Auth0 ในเดือนกันยายน ซึ่งครอบคลุมการข้ามการตรวจสิทธิ์ SQL injection และ stored XSS โดยช่องโหว่ชุดนั้นมีเงื่อนไขและเวอร์ชันแก้ไขต่างกัน

Cyber Security News ยังยกกรณีการขโมยเซสชันผู้ดูแลระบบ Okta ที่ 1Password ในอดีตเป็นตัวอย่างว่าทำไมการปกป้องเซสชันสิทธิ์สูงจึงสำคัญ แม้เหตุการณ์นั้นจะไม่เกี่ยวกับช่องโหว่นี้โดยตรง

รายละเอียดช่องโหว่

  • CVE: CVE-2026-115547
  • ผลิตภัณฑ์: Okta Access Gateway ทุกเวอร์ชันก่อน 2026.10.2
  • คะแนน: CVSS v3.1 9.1 (วิกฤต)
  • ประเภท: CWE-94 (Code Injection) และ CWE-20 (Improper Input Validation)
  • เวกเตอร์: โจมตีผ่านเครือข่าย ความซับซ้อนต่ำ ต้องใช้สิทธิ์สูง (แอดมิน) ไม่ต้องมีปฏิสัมพันธ์จากผู้ใช้ ขอบเขตเปลี่ยน (Scope: Changed) และกระทบการรักษาความลับ ความถูกต้อง และความพร้อมใช้งานในระดับสูงทั้งหมด
  • ผลของการโจมตี: รันคำสั่งระบบด้วยสิทธิ์ของบัญชีบริการ OAG
  • เวอร์ชันที่แก้ไข: 2026.10.2 ขึ้นไป (เวอร์ชัน 2026.9.1 ยังไม่ครอบคลุม)

คะแนนสูงถึง 9.1 แม้ต้องใช้สิทธิ์แอดมิน เพราะขอบเขตเปลี่ยน กล่าวคือ การโจมตีหลุดจากขอบเขตของแอปพลิเคชันจัดการไปถึงระบบปฏิบัติการของตัวเกตเวย์ ซึ่งเป็นจุดที่ทราฟฟิกยืนยันตัวตนของแอปพลิเคชันในองค์กรไหลผ่าน

ผลกระทบ

Okta Access Gateway เป็นจุดศูนย์กลางที่ควบคุมการเข้าถึงแอปพลิเคชันเดิมขององค์กร ผู้โจมตีที่รันคำสั่งบนเกตเวย์ได้อาจดักหรือแก้ไขการตัดสินใจด้านการยืนยันตัวตน เข้าถึงความลับและใบรับรองที่เกตเวย์เก็บไว้ หรือใช้เกตเวย์เป็นฐานเคลื่อนที่ต่อไปยังแอปพลิเคชันหลังบ้าน ช่องโหว่นี้จึงเปลี่ยนการเจาะบัญชีแอดมินของ Admin Console จากความเสียหายระดับการตั้งค่า ไปเป็นการยึดตัวอุปกรณ์

ความเสี่ยงจริงขึ้นกับว่าองค์กรป้องกันบัญชีแอดมินได้ดีแค่ไหน ในยุคที่การขโมยเซสชันและรหัสผ่านของผู้ดูแลระบบเป็นเทคนิคหลักของกลุ่มอย่าง ShinyHunters และกลุ่มที่เล็งระบบระบุตัวตน การที่ต้องใช้สิทธิ์แอดมินก่อนจึงเป็นเพียงอุปสรรคเดียวที่เหลืออยู่ การไม่มีรายงานการโจมตีจริงก็ไม่ได้แปลว่าจะไม่ถูกโจมตี

คำแนะนำ

  • อัปเดต Okta Access Gateway เป็นเวอร์ชัน 2026.10.2 หรือใหม่กว่าโดยเร็ว เพราะไม่มีวิธีแก้ชั่วคราว และตรวจให้แน่ใจว่าไม่ได้หยุดอยู่ที่ 2026.9.1
  • จำกัดการเข้าถึง Admin Console ให้มาจากเครือข่ายจัดการหรือ IP ที่กำหนดเท่านั้น ไม่เปิดสู่อินเทอร์เน็ต
  • ทบทวนรายชื่อบัญชีที่มีสิทธิ์แอดมิน OAG ตัดบัญชีที่ไม่จำเป็น และบังคับ MFA แบบทนฟิชชิง (phishing-resistant MFA) กับทุกบัญชี
  • ตรวจล็อกการเปลี่ยนแปลงคอนฟิกย้อนหลังหาค่าที่ผิดปกติหรือการแก้ไขที่ไม่มีใครอนุมัติ
  • ตรวจสิทธิ์จริงของบัญชีบริการ OAG บนตัวอุปกรณ์ และเฝ้าระวังโปรเซสหรือการเชื่อมต่อขาออกที่ผิดปกติจากเกตเวย์
  • ติดตามพอร์ทัลประกาศความปลอดภัยของ Okta สำหรับรายละเอียดเพิ่มเติม

แหล่งอ้างอิง