2026-10-31
Orkes Conductorの脆弱性 CVE-2026-58138：ログインなしでOSのコマンドを実行される、攻撃の試みを観測（3.30.2以降へ更新）
CVE-2026-58138は、conductor-ossプロジェクトのオープンソースのワークフローエンジンConductor（CVEの記録ではOrkes Conductor）の脆弱性。3.21.21から3.30.2より前の版では、スクリプトの評価機能が隔離されておらず、JavaScriptやPythonの式を含むワークフロー定義をワークフローAPIに送るだけで、遠隔の攻撃者が認証なしでOSのコマンドを実行できる。CVEは2026年6月30日に公開され、CVSSは9.8（v3.1）と9.3（v4.0）。修正は6月3日のリリース3.30.2に入っているが、リリースノートには「JavaScriptエンジンの制限を強めた」としか書かれていない。ネットワークセキュリティ企業は9月、侵入防止サービスで1日に1,290件、7日間で6,696件の攻撃の試みを遮断したと報告した。これは遮断した試みの数で、侵害が確認された数ではない。10月31日時点で米CISAのKEVには載っておらず、NVDも分析していない（状態はDeferred）。当サイトの結論：Conductorを自分で運用しているなら、今すぐ3.30.2以降に上げ、APIをインターネットから見えないようにし、対象の版が外から届く状態だったなら侵害の可能性がある前提で点検する。