米国時間2026年10月21日、業界全体に影響を及ぼすサードパーティ製PHPの深刻な事前認証リモートコード実行（RCE）の脆弱性（CVE-2026-109618およびCVE-2026-109619、共にCVSSスコア9.2）が公開されました。
Oktaが公開されている概念実証（PoC）エクスプロイトをデフォルト構成のOkta Access Gatewayに対してテストした結果、コード実行には至りませんでした。
Oktaの対応
クラウドサービス： 影響はありません。OktaおよびAuth0のクラウドサービスプラットフォームは、これらの脆弱性の影響を受けておりません。
オンプレミスソフトウェア： Okta Access Gateway（OAG）にはパッチの適用が必要です。お客様はOkta Access Gateway バージョン 2026.44.0 へアップグレードしてください。
Okta Access Gateway（OAG）をご利用のお客様
2026.44.0 より前のバージョンの Okta Access Gateway アプライアンスをご利用のお客様は、バージョン 2026.44.0 へアップグレードしてください。脆弱性の詳細および修正ガイダンスにつきましては、以下のセキュリティアドバイザリをご参照ください。
Auth0およびOkta SDKをご利用のお客様
必要な対応および開発者向けガイダンスにつきましては、該当するナレッジベース（KB）記事をご参照ください。
