Критическая уязвимость в Orkes Conductor: неавторизованный RCE эксплуатируется в реальных атаках

Компания Fortinet предупредила об активной эксплуатации критической уязвимости в Orkes Conductor — платформе для оркестрации рабочих процессов. Проблема получила идентификатор CVE-2026-58138 и максимально высокие оценки опасности: 9,8 по CVSS v3.1 и 9,3 по CVSS v4.

В чём суть

Уязвимость относится к классу неаутентифицированного удалённого выполнения кода (pre-auth RCE). Согласно описанию в базе NVD, она затрагивает версии Orkes Conductor начиная с 3.21.21 и до 3.30.2. Атакующий может отправить на API рабочих процессов встроенное определение (inline workflow), содержащее вредоносные выражения на JavaScript или Python, — и всё это ещё до прохождения аутентификации.

Корень проблемы — в незащищённых вычислителях выражений на базе GraalVM, сконфигурированных с параметрами HostAccess.ALL или allowAllAccess(true). Через типы задач INLINE, LAMBDA, DO_WHILE и SWITCH злоумышленник способен вырваться за пределы предполагаемой скриптовой песочницы и выполнить произвольные системные команды — с помощью рефлексии Java или прямых вызовов подпроцессов. Команды исполняются с привилегиями процесса Conductor.

Масштаб атак

По данным Fortinet, только за сутки к 9 сентября 2026 года было заблокировано 1290 попыток атак — это на 132% больше, чем днём ранее. В период со 2 по 9 сентября компания отразила почти 7000 попыток. Основные источники активности — Германия, Гонконг, Индонезия, ОАЭ и Индия.

Смежные данные подтверждают, что интерес к уязвимости возник не вчера. Телеметрия Previdian зафиксировала три попытки эксплуатации на ханипотах ещё с 24 июля 2026 года — с двух IP-адресов во Франции и США. Компания Empirical Security отмечала атаки в дикой природе вплоть до 21 августа 2026 года.

Что делать

Организациям, использующим уязвимые версии, рекомендуется как можно скорее обновиться до Conductor 3.30.2 или новее, где брешь устранена. Если немедленное обновление невозможно, стоит ограничить внешний доступ к API рабочих процессов, разместить экземпляры Conductor за средствами сетевого контроля доступа и внимательно следить за подозрительными определениями рабочих процессов и неожиданным выполнением команд.

Источник: The Hacker News