대상 독자: Conductor(conductor-oss, Orkes Conductor라고도 함)를 자체 서버나 컨테이너에서 운영하는 팀. AI 에이전트 워크플로에 쓰는 경우도 포함합니다. 이 페이지는 CVE 기록, NVD, 프로젝트 릴리스 노트, CISA의 KEV 카탈로그, 보안 업체의 경보를 근거로 하며, 공격 절차나 익스플로잇 코드는 포함하지 않습니다.
진행 중: 추가 정보가 공개되는 대로 이 페이지를 업데이트합니다
- 대상
Conductor(conductor-oss, Orkes Conductor라고도 함)를 자체 서버나 컨테이너에서 운영하는 팀. AI 에이전트 워크플로에 쓰는 경우도 포함합니다. 이 페이지는 CVE 기록, NVD, 프로젝트 릴리스 노트, CISA의 KEV 카탈로그, 보안 업체의 경보를 근거로 하며, 공격 절차나 익스플로잇 코드는 포함하지 않습니다.
- 확인된 영향 범위표 보기 ↓
- 영향 버전과 수정 버전
- 인증 불필요
- 실제 공격 시도
- 아직 확인되지 않은 사항
- 공격 시도가 확인된 침해로 이어졌는지
- 프로젝트 또는 Orkes의 보안 공지나 성명
- Orkes의 호스팅·엔터프라이즈 제품이 영향을 받는지
2개 더 보기
- NVD 자체 분석(상태: Deferred)
- CISA가 KEV 카탈로그에 추가할지
- 지금 할 일절차 보기 ↓
- Conductor 서버와 버전을 찾으세요
- 3.30.2 이상으로 업데이트하세요
- 워크플로 API를 인터넷에서 분리하세요
1개 더 보기
- 영향 버전이 접근 가능했다면 침해 가능성을 전제로 점검하세요
- 확인처(출처)출처 전체 ↓
- NVD, CVE-2026-58138
- 마지막 확인
- 2026년 10월 31일 기준(일본 시간)
후속 발표 예정과 확인 기록
CVE 기록과 수정 릴리스는 공개되어 있습니다. 보안 업체의 수치는 9월 것입니다. 10월 31일에 NVD, GitHub 릴리스, 프로젝트의 보안 공지, CISA의 KEV 피드를 확인했습니다.
오늘 할 일
Conductor 서버와 버전을 찾으세요
컨테이너 이미지, Helm 차트, Compose 파일, 빌드 파일에서 Conductor 서버를 찾아 버전 태그를 기록하세요. 영향 버전은 3.21.21부터 3.30.2 미만입니다. AI 에이전트 작업용으로 세운 테스트·스테이징·시범 서버도 잊지 마세요.
3.30.2 이상으로 업데이트하세요
3.30.2에 수정이 들어 있습니다. 10월 31일 기준 최신 안정 릴리스는 3.33.0(10월 26일)입니다. 오늘 업데이트할 수 없다면 업데이트할 수 있을 때까지 서버를 인터넷에서 떼어 두세요.
워크플로 API를 인터넷에서 분리하세요
보안 업체는 워크플로 API의 노출을 제한하라고 권합니다. 서버를 사설 네트워크에 두고, 필요한 시스템만 접근하게 하고, 앞단에서 인증을 요구하세요(예: 리버스 프록시나 API 게이트웨이). 업데이트는 이 취약점을 고치고, 접근 제한은 다음 취약점의 영향도 줄입니다.
영향 버전이 접근 가능했다면 침해 가능성을 전제로 점검하세요
보안 업체에 따르면 공격 시도는 9월 초에 집계되었고, 공개 익스플로잇 코드는 8월에 게시되었습니다. 일반적인 점검으로(이 사이트의 제안), 팀의 누구도 만들지 않은 워크플로 정의, Conductor 서버가 시작한 예상치 못한 프로세스, 평소와 다른 외부 연결, 호스트의 새 파일이나 예약 작업을 찾으세요.
서버가 읽을 수 있는 인증 정보(데이터베이스, 큐, AI 제공업체의 API 키 등)를 교체하세요. 설명할 수 없는 것을 발견하면 그 자리에서 정리하지 말고 깨끗한 이미지로 호스트를 다시 만드세요.
공개된 내용
- 제품
- 애플리케이션과 AI 에이전트를 위한 오픈소스 워크플로 엔진 Conductor(conductor-oss/conductor, CVE 기록상 「Orkes Conductor」)
- 유형
- 코드 인젝션(CWE-94). JavaScript·Python 스크립트 평가기가 격리되지 않아, 제출된 워크플로 정의의 식이 운영체제에 닿을 수 있었음
- 인증
- 필요 없음(CVE 기록)
- 심각도
- CVSS v3.1 9.8, CVSS v4.0 9.3(CVE 번호 부여 기관인 보안 업체의 점수)
- 영향 버전
- 3.21.21부터 3.30.2 미만
- 수정 버전
- 3.30.2(2026년 6월 3일 출시)
- 악용
- 한 네트워크 보안 업체가 차단된 공격 시도를 보고(24시간에 1,290건, 7일간 6,696건, 2026년 9월). 확인된 침해는 공개되지 않음
- NVD / KEV
- NVD 상태 Deferred(최종 수정 10월 25일). 10월 31일 기준 CISA의 KEV 카탈로그에 없음
1. 버전 찾기
3.21.21–3.30.1이 영향 버전
2. 업데이트와 접근 제한
3.30.2 이상, API는 사설 네트워크에
3. 노출된 서버 점검
모르는 워크플로·프로세스·연결, 키 교체
타임라인
2026년 5월 22일
「Restrict graaljs further」(JavaScript 엔진 제한 강화)라는 변경이 프로젝트에 병합됨.6월 3일
이 변경을 포함한 릴리스 3.30.2 출시. 노트에 보안 수정이나 CVE 언급 없음.6월 30일
CVE-2026-58138 공개, 수정 버전은 3.30.2.8월 9일
보안 업체의 경보에 따르면 공개 익스플로잇 코드가 게시됨.9월 9일
보안 업체가 24시간에 1,290건(하루 132% 증가), 7일간 6,696건의 공격 시도를 차단했다고 보고.9월 15일
이 업체가 3.30.2 이상으로의 업데이트를 권하는 경보를 게시. 이후 한 보안 뉴스 사이트가 1주일에 약 7,000건의 시도라고 보도.10월 31일
CISA의 KEV 카탈로그에 없음. NVD 상태 Deferred.
알려진 것과 알려지지 않은 것
| 항목 | 출처의 내용 | 상태 |
|---|---|---|
| 영향 버전과 수정 버전 | 3.21.21부터 3.30.2 미만, 3.30.2에서 수정 | 확인(CVE 기록) |
| 인증 불필요 | CVE 기록에 명시 | 확인(CVE 기록) |
| 실제 공격 시도 | 보안 업체가 집계한 차단된 시도 | 확인(보안 업체) |
| 성공한 침해 | 확인한 출처에 공개되지 않음 | 공개되지 않음 |
| 프로젝트 또는 Orkes의 공지·성명 | GitHub에서 찾지 못함, 릴리스 노트뿐 | 공개되지 않음 |
| Orkes의 호스팅·엔터프라이즈 제품 | CVE 기록의 대상이 아님 | 공개되지 않음 |
| CISA KEV | 10월 31일 기준 미등재 | 공개되지 않음 |
| NVD 분석 | 상태 Deferred | 공개되지 않음 |
왜 놓치기 쉬웠나
세 가지가 겹쳤습니다. 수정이 보안 표시 없이 나와서, 보안 공지만 추적하는 팀은 대응할 근거가 없었습니다. 그다음 CVE가 NVD의 Deferred 대기열에 들어가고 KEV 항목도 없어, 이 신호로 순위를 매기는 대시보드에서는 낮게 보입니다. 그리고 AI 에이전트 프로젝트를 위해 세운 워크플로 엔진은 평소의 패치 관리 목록에서 빠질 수 있습니다.
이는 Metabase 침해와 같은 교훈입니다. 많은 인증 정보를 가진 내부 도구가 인터넷에서 접근 가능했고, 로그인 없이 악용되었습니다. 취약점 우선순위를 KEV에 의존한다면, 개발사나 보안 업체의 악용 보고도 판단의 계기로 추가하세요(어떤 CVE부터 고칠지 정하는 방법 참조).
출처
2026년 10월 31일(일본 시간)에 확인.
- NVD, CVE-2026-58138 — nvd.nist.gov
- conductor-oss/conductor, 릴리스 v3.30.2(2026년 6월 3일) — github.com
- CVE 번호 부여 기관(보안 업체)의 공지 — vulncheck.com
- 보안 업체의 위협 보고서(2026년 9월 9일) — fortiguard.com
- 보안 업체의 경보(2026년 9월 15일) — fortiguard.com
- CISA, Known Exploited Vulnerabilities Catalog(10월 31일 확인, 미등재) — cisa.gov
- 보안 뉴스 보도(2026년 9월 22일) — esecurityplanet.com
업데이트 기록
2026-10-31: NVD, 프로젝트 릴리스 노트, CISA의 KEV 카탈로그, 보안 업체의 경보를 바탕으로 한 첫 버전.
다음으로 읽을 글
- 비슷한 사례: Metabase 취약점을 통한 침해
- 수정 우선순위: 어떤 CVE부터 고칠까(CVSS·EPSS·KEV)
- 대응 절차: 의존성 CVE를 제대로 고치기
- 용어: RCE(원격 코드 실행)란? / CVSS란?
- AI를 이용한 공격: AI를 이용한 사이버 공격에 대비하기