2026-10-31
Orkes Conductor CVE-2026-58138: 인증 없이 OS 명령 실행, 공격 시도 관측(3.30.2 이상으로 업데이트)
CVE-2026-58138은 conductor-oss 프로젝트의 오픈소스 워크플로 엔진 Conductor(CVE 기록상 Orkes Conductor)의 취약점입니다. 3.21.21부터 3.30.2 미만 버전에서는 스크립트 평가기가 격리되지 않아, 원격 공격자가 JavaScript나 Python 식이 담긴 워크플로 정의를 워크플로 API에 보내는 것만으로 인증 없이 운영체제 명령을 실행할 수 있습니다. CVE는 2026년 6월 30일 공개되었고 CVSS는 9.8(v3.1), 9.3(v4.0)입니다. 수정은 6월 3일 릴리스 3.30.2에 들어 있지만, 릴리스 노트에는 JavaScript 엔진을 더 제한했다고만 적혀 있습니다. 한 네트워크 보안 업체는 9월, 침입 방지 서비스가 하루에 1,290건, 7일간 6,696건의 공격 시도를 차단했다고 보고했습니다. 이는 차단된 시도이며 확인된 침해가 아닙니다. 10월 31일 기준 CISA의 KEV 카탈로그에 없고 NVD도 분석하지 않았습니다(상태 Deferred). 우리의 결론: Conductor를 직접 운영한다면 지금 3.30.2 이상으로 올리고, API를 인터넷에서 보이지 않게 하고, 영향 버전이 외부에서 접근 가능했다면 침해 가능성이 있다고 보고 점검하세요.