Orkes Conductor 工作流平台存在严重预认证 RCE，已被在野利用

据 Fortinet 称，影响 Orkes Conductor 的一个严重漏洞正被积极在野利用。

该漏洞为 CVE-2026-58138（CVSS v3.1 评分：9.8 / CVSS v4 评分：9.3），属于未认证远程代码执行。

"Orkes Conductor 3.21.21 至 3.30.2 之前的版本存在一个未认证远程代码执行漏洞，允许远程攻击者在认证之前，通过向工作流 API 端点提交包含恶意 JavaScript 或 Python 表达式的内联工作流定义，来执行任意操作系统命令，"NIST 国家漏洞数据库 (NVD) 对该漏洞的描述写道。

"攻击者可通过 INLINE、LAMBDA、DO_WHILE 和 SWITCH 任务类型，利用配置了 HostAccess.ALL 或 allowAllAccess(true) 的未沙箱化 GraalVM 求值器，借助 Java 反射或直接子进程调用执行任意系统命令。"

在本周发布的一份爆发警报中，Fortinet 表示，它观察到攻击者正通过向 Conductor 工作流 API 提交包含 JavaScript 或 Python 表达式的特制工作流定义，积极攻击易受 CVE-2026-58138 影响的 Orkes Conductor 服务器。

"由于存在漏洞的求值器可被配置为不受限制的主机访问，攻击者能够逃逸预期的脚本环境，并以 Conductor 进程的权限执行任意操作系统命令，"Fortinet 表示。

截至 2026 年 9 月 9 日，该公司称其在 24 小时内拦截了 1,290 次攻击尝试，日均活动量增加了 132%。在 2026 年 9 月 2 日至 9 日期间，共拦截了近 7,000 次尝试。据称，大部分攻击活动源自德国、香港、印度尼西亚、阿联酋和印度。

来自 Previdian 的遥测数据显示，自 2026 年 7 月 24 日以来，其蜜罐遭受了三次利用尝试，来自法国和美国两个不同的 IP 地址。同样，Empirical Security 指出，其最迟在 2026 年 8 月 21 日就检测到了在野利用。

建议使用受影响版本的组织升级到 Conductor 3.30.2 或更高版本，该版本修复了此漏洞。如果无法立即打补丁，建议限制对 Conductor 工作流 API 端点的外部访问，将 Conductor 实例置于适当的网络访问控制之后，并监控可疑的工作流提交和意外的命令执行。