Уязвимость в Orkes Conductor уже используют в атаках
Критическая ошибка CVE-2026-58138 позволяет выполнить команды на сервере через API рабочих процессов без аутентификации. Fortinet зафиксировала тысячи попыток атак за неделю.
В платформе автоматизации рабочих процессов Orkes Conductor обнаружена критическая уязвимость CVE-2026-58138, которую уже эксплуатируют в реальных атаках. Ошибка позволяет удалённо выполнять произвольные команды операционной системы до прохождения аутентификации.
По описанию в базе NVD, проблема затрагивает версии Orkes Conductor начиная с 3.21.21 и до 3.30.2. Для атаки злоумышленнику достаточно отправить в API определения рабочего процесса со специально подготовленными выражениями на JavaScript или Python. Уязвимость связана с небезопасной конфигурацией интерпретаторов GraalVM: она даёт скрипту неограниченный доступ к функциям хост-системы.
Fortinet сообщила, что наблюдает атаки на доступные из сети серверы Conductor. По данным компании, 9 сентября её средства защиты заблокировали 1290 попыток эксплуатации за 24 часа — на 132% больше, чем днём ранее. С 2 по 9 сентября было заблокировано почти 7000 попыток. Большая часть активности исходила из Германии, Гонконга, Индонезии, ОАЭ и Индии.
Дополнительные признаки эксплуатации привели Previdian и Empirical Security. Датчики-ловушки Previdian с 24 июля зарегистрировали три попытки с двух IP-адресов из Франции и США, а Empirical Security сообщила об обнаружении атак не позднее 21 августа.
Для устранения проблемы рекомендуется обновить Orkes Conductor до версии 3.30.2 или новее. Если обновление нельзя установить сразу, следует ограничить внешний доступ к API рабочих процессов, использовать сетевые средства контроля доступа и отслеживать подозрительные отправки workflow-описаний и неожиданный запуск команд.