2026-10-31
Orkes Conductor CVE-2026-58138: execução de comandos do sistema sem autenticação, com tentativas de ataque observadas (atualize para 3.30.2 ou posterior)
A CVE-2026-58138 é uma falha no Conductor, o mecanismo de fluxos de trabalho de código aberto do projeto conductor-oss, que o registro CVE chama de Orkes Conductor. Nas versões a partir de 3.21.21 e anteriores a 3.30.2, um invasor remoto pode executar comandos do sistema operacional sem autenticação enviando à API de fluxos de trabalho uma definição de fluxo com expressões em JavaScript ou Python, porque os avaliadores de scripts não estavam isolados. A CVE foi publicada em 30 de junho de 2026 com CVSS 9.8 (v3.1) e 9.3 (v4.0). A correção está na versão 3.30.2, de 3 de junho, cujas notas a descrevem apenas como uma restrição maior do mecanismo de JavaScript. Uma empresa de segurança de redes informou em setembro que seu serviço de prevenção de intrusões bloqueou 1.290 tentativas de ataque em um dia e 6.696 em sete dias. São tentativas bloqueadas, não comprometimentos confirmados. Em 31 de outubro, a CVE não está no catálogo KEV da CISA e o NVD não a analisou (situação Deferred). Nossa conclusão: se você roda o Conductor por conta própria, passe agora para 3.30.2 ou posterior, mantenha a API fora da internet e, se uma versão afetada estava acessível, revise-a como possivelmente comprometida.