2026-10-31
Orkes Conductor CVE-2026-58138: выполнение команд ОС без аутентификации, зафиксированы попытки атак (обновитесь до 3.30.2 или новее)
CVE-2026-58138 — уязвимость в Conductor, движке рабочих процессов с открытым исходным кодом из проекта conductor-oss, который в записи CVE называется Orkes Conductor. В версиях с 3.21.21 до, но не включая, 3.30.2 удаленный злоумышленник может без аутентификации выполнять команды операционной системы, отправив в API рабочих процессов определение рабочего процесса с выражениями JavaScript или Python, потому что механизмы вычисления скриптов не были изолированы. CVE опубликована 30 июня 2026 года с оценками CVSS 9,8 (v3.1) и 9,3 (v4.0). Исправление вошло в выпуск 3.30.2 от 3 июня, в примечаниях к которому оно описано лишь как дополнительное ограничение движка JavaScript. В сентябре вендор сетевой безопасности сообщил, что его служба предотвращения вторжений заблокировала 1 290 попыток атак за сутки и 6 696 за семь дней. Это заблокированные попытки, а не подтвержденные компрометации. По состоянию на 31 октября CVE нет в каталоге KEV CISA, а NVD ее не анализировал (статус Deferred). Наш вывод: если вы сами эксплуатируете Conductor, сейчас же перейдите на 3.30.2 или новее, уберите его API из интернета и, если уязвимая версия была доступна извне, проверьте сервер как возможно скомпрометированный.