motor de flujos de trabajo

Orkes Conductor CVE-2026-58138: ejecución de comandos del sistema sin autenticación, con intentos de ataque observados (actualice a 3.30.2 o posterior)

CVE-2026-58138 es una vulnerabilidad de Conductor, el motor de flujos de trabajo de código abierto del proyecto conductor-oss, al que el registro CVE llama Orkes Conductor. En las versiones desde 3.21.21 hasta antes de 3.30.2, un atacante remoto puede ejecutar comandos del sistema operativo sin autenticación enviando a la API de flujos de trabajo una definición de flujo que contenga expresiones de JavaScript o Python, porque los evaluadores de scripts no estaban aislados. El CVE se publicó el 30 de junio de 2026 con CVSS 9.8 (v3.1) y 9.3 (v4.0). La corrección está en la versión 3.30.2 del 3 de junio, cuyas notas solo la describen como una restricción mayor del motor de JavaScript. Una empresa de seguridad de redes informó en septiembre de que su servicio de prevención de intrusiones bloqueó 1.290 intentos de ataque en un día y 6.696 en siete días. Son intentos bloqueados, no compromisos confirmados. A 31 de octubre, el CVE no figura en el catálogo KEV de CISA y NVD no lo ha analizado (estado Deferred). Nuestra conclusión: si ejecuta Conductor por su cuenta, pase ya a 3.30.2 o posterior, mantenga su API fuera de internet y, si una versión afectada era accesible, revísela como posiblemente comprometida.