Para: equipos que ejecutan Conductor (conductor-oss, también llamado Orkes Conductor) en sus propios servidores o contenedores, también para flujos de trabajo de agentes de IA. Esta página se basa en el registro CVE, NVD, las notas de versión del proyecto, el catálogo KEV de CISA y una alerta de una empresa de seguridad; no contiene pasos de ataque ni código de exploit.
En desarrollo: esta página se actualizará a medida que se publique más
- A quién afecta
equipos que ejecutan Conductor (conductor-oss, también llamado Orkes Conductor) en sus propios servidores o contenedores, también para flujos de trabajo de agentes de IA.
- Confirmado hasta ahoraVer la tabla ↓
- Versiones afectadas y corregidas
- No requiere autenticación
- Intentos de ataque reales
- Aún sin confirmar
- Si algún intento de ataque ha llevado a un compromiso confirmado
- Un aviso de seguridad o una declaración del proyecto o de Orkes
- Si la oferta alojada o empresarial de Orkes está afectada
2 más
- El propio análisis de NVD (estado: Deferred)
- Si CISA lo añade al catálogo KEV
- Qué hacer ahoraVer los pasos ↓
- Localice sus servidores de Conductor y sus versiones
- Actualice a 3.30.2 o posterior
- Mantenga la API de flujos de trabajo fuera de internet
1 más
- Si una versión afectada era accesible, revísela como posiblemente comprometida
- Dónde verificarlo (fuente)Todas las fuentes ↓
- NVD, CVE-2026-58138
- Última comprobación
- A fecha del 31 de octubre de 2026 (JST)
Próximos avisos y qué comprobamos
El registro CVE y la versión corregida son públicos. Las cifras de la empresa de seguridad son de septiembre. Consultamos NVD, las versiones en GitHub, los avisos de seguridad del proyecto y el feed KEV de CISA el 31 de octubre.
Qué hacer hoy
Localice sus servidores de Conductor y sus versiones
Busque el servidor de Conductor en sus imágenes de contenedor, charts de Helm, archivos Compose y archivos de compilación, y anote la etiqueta de versión. Afectadas: desde 3.21.21 hasta antes de 3.30.2. No olvide los servidores de prueba, de staging y de prototipo creados para trabajos con agentes de IA.
Actualice a 3.30.2 o posterior
3.30.2 contiene la corrección. La versión estable más reciente a 31 de octubre es 3.33.0 (26 de octubre). Si no puede actualizar hoy, saque el servidor de internet hasta que pueda.
Mantenga la API de flujos de trabajo fuera de internet
La empresa de seguridad aconseja restringir la exposición de la API de flujos de trabajo. Coloque el servidor en una red privada, permita solo los sistemas que lo necesitan y exija autenticación delante (por ejemplo, un proxy inverso o una pasarela de API). Una actualización corrige este fallo; restringir el acceso también limita el siguiente.
Si una versión afectada era accesible, revísela como posiblemente comprometida
Según la empresa, los intentos de ataque se contaron a principios de septiembre y el código de exploit público se publicó en agosto. En términos generales (sugerencia nuestra): busque definiciones de flujo que nadie de su equipo creó, procesos inesperados iniciados por el servidor de Conductor, conexiones salientes inusuales y archivos o tareas programadas nuevos en el host.
Rote las credenciales que el servidor puede leer, como las de la base de datos, la cola y las claves de API de proveedores de IA. Si encuentra algo que no puede explicar, reconstruya el host desde una imagen limpia en lugar de limpiarlo in situ.
Qué se divulgó
- Producto
- Conductor, un motor de flujos de trabajo de código abierto para aplicaciones y agentes de IA (conductor-oss/conductor; "Orkes Conductor" en el registro CVE)
- Tipo
- Inyección de código (CWE-94). Los evaluadores de scripts de JavaScript y Python no estaban aislados, por lo que las expresiones de una definición de flujo enviada podían llegar al sistema operativo
- Autenticación
- No necesaria (registro CVE)
- Gravedad
- CVSS v3.1 9.8, CVSS v4.0 9.3 (puntuaciones de la autoridad de numeración CVE, una empresa de seguridad)
- Afectadas
- Desde 3.21.21 hasta antes de 3.30.2
- Corregida
- 3.30.2 (publicada el 3 de junio de 2026)
- Explotación
- Una empresa de seguridad de redes informa de intentos de ataque bloqueados (1.290 en 24 horas; 6.696 en siete días, septiembre de 2026). No se ha publicado ningún compromiso confirmado
- NVD / KEV
- Estado en NVD: Deferred (última modificación el 25 de octubre). No figura en el catálogo KEV de CISA a 31 de octubre
1. Localizar versiones
De 3.21.21 a 3.30.1 están afectadas
2. Actualizar y restringir
3.30.2 o posterior; API en una red privada
3. Revisar servidores expuestos
Flujos, procesos y conexiones desconocidos; rotar claves
Cronología
22 de mayo de 2026
Se incorpora al proyecto un cambio titulado "Restrict graaljs further" (restringir más el motor de JavaScript).3 de junio
Sale la versión 3.30.2 con ese cambio. Las notas no mencionan una corrección de seguridad ni un CVE.30 de junio
Se publica CVE-2026-58138, con 3.30.2 como versión corregida.9 de agosto
Se publica código de exploit público, según la alerta de la empresa de seguridad.9 de septiembre
La empresa de seguridad informa de 1.290 intentos de ataque bloqueados en 24 horas (un aumento diario del 132%) y 6.696 en siete días.15 de septiembre
La empresa publica una alerta de brote que aconseja actualizar a 3.30.2 o posterior. Un sitio de noticias de seguridad informa después de casi 7.000 intentos en una semana.31 de octubre
No figura en el catálogo KEV de CISA; estado en NVD: Deferred.
Qué se sabe y qué no
| Elemento | Lo que dicen las fuentes | Estado |
|---|---|---|
| Versiones afectadas y corregidas | Desde 3.21.21 hasta antes de 3.30.2; corregido en 3.30.2 | Confirmado (registro CVE) |
| No requiere autenticación | Indicado en el registro CVE | Confirmado (registro CVE) |
| Intentos de ataque reales | Intentos bloqueados contados por una empresa de seguridad | Confirmado (empresa de seguridad) |
| Compromisos con éxito | Ninguno publicado en las fuentes consultadas | No consta |
| Aviso o declaración del proyecto o de Orkes | No se encontró ninguno en GitHub; solo notas de versión | No consta |
| Oferta alojada o empresarial de Orkes | No cubierta por el registro CVE | No consta |
| KEV de CISA | No figura a 31 de octubre | No consta |
| Análisis de NVD | Estado Deferred | No consta |
Por qué es fácil pasarla por alto
Aquí se combinan tres cosas. La corrección salió sin etiqueta de seguridad, así que los equipos que solo siguen los avisos no tenían nada sobre lo que actuar. Después, el CVE pasó a la cola Deferred de NVD y no tiene entrada en KEV, por lo que los paneles que ordenan por esas señales lo sitúan abajo. Y un motor de flujos de trabajo montado para un proyecto de agentes de IA puede quedar fuera del inventario habitual de parches.
Es la misma lección que las brechas de Metabase (en inglés): una herramienta interna que guarda muchas credenciales, accesible desde internet y explotada sin iniciar sesión. Si su priorización de vulnerabilidades depende de KEV, añada también como desencadenante los informes de explotación del desarrollador o de empresas de seguridad (vea cómo decidir qué CVE corregir primero).
Fuentes
Consultadas el 31 de octubre de 2026 (JST).
- NVD, CVE-2026-58138 — nvd.nist.gov
- conductor-oss/conductor, versión v3.30.2 (3 de junio de 2026) — github.com
- Aviso de la autoridad de numeración CVE (una empresa de seguridad) — vulncheck.com
- Informe de amenazas de la empresa de seguridad (9 de septiembre de 2026) — fortiguard.com
- Alerta de brote de la empresa de seguridad (15 de septiembre de 2026) — fortiguard.com
- CISA, Known Exploited Vulnerabilities Catalog (consultado el 31 de octubre; no figura) — cisa.gov
- Informe de noticias de seguridad (22 de septiembre de 2026) — esecurityplanet.com
Historial de actualizaciones
2026-10-31: Primera versión, basada en NVD, las notas de versión del proyecto, el catálogo KEV de CISA y la alerta de una empresa de seguridad.
Leer a continuación
- Un caso parecido: Brechas por la vulnerabilidad de Metabase (en inglés)
- Priorizar correcciones: Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV)
- Pasos de respuesta: Guía de corrección de vulnerabilidades
- Términos: ¿Qué es la ejecución remota de código (RCE)? / ¿Qué es CVSS?
- Ataques con IA: Defenderse de ataques impulsados por IA (en inglés)