2026-10-31
Orkes Conductor CVE-2026-58138：無需身分驗證即可執行作業系統指令，已觀測到攻擊嘗試（請更新至 3.30.2 或更新版本）
CVE-2026-58138 是 Conductor 中的一個漏洞。Conductor 是 conductor-oss 專案的開源工作流程引擎，CVE 紀錄中稱其為 Orkes Conductor。在 3.21.21 至低於 3.30.2 的版本中，由於腳本求值器沒有沙箱隔離，遠端攻擊者只要向工作流程 API 提交包含 JavaScript 或 Python 運算式的工作流程定義，即可在無需身分驗證的情況下執行作業系統指令。該 CVE 於2026年6月30日公布，CVSS 為 9.8（v3.1）與 9.3（v4.0）。修補包含在6月3日發布的 3.30.2 中，但其版本說明只寫了進一步限制 JavaScript 引擎。一家網路資安廠商在9月回報，其入侵防禦服務在一天內攔截了 1,290 次攻擊嘗試，七天內攔截了 6,696 次。這些是遭攔截的嘗試，而不是已確認的入侵。截至10月31日，該 CVE 不在 CISA 的 KEV 目錄中，NVD 也尚未分析（狀態為 Deferred）。本站的結論：如果您自行執行 Conductor，請立即升級至 3.30.2 或更新版本，不要讓其 API 暴露在網際網路上；如果受影響的版本曾可從外部存取，請以可能已遭入侵為前提進行檢查。