根据 Fortinet 的报告，影响 Orkes Conductor 的一个关键漏洞正在被积极利用。
该漏洞是 CVE-2026-58138（CVSS v3.1 分数：9.8/CVSS v4 分数：9.3），与未认证的远程代码执行有关。
“NIST 国家漏洞数据库 (NVD) 上对该缺陷的描述指出，‘Orkes Conductor 3.21.21 版本在 3.30.2 之前存在一个未认证的远程代码执行漏洞，允许远程攻击者通过在身份验证之前向工作流 API 端点提交包含恶意 JavaScript 或 Python 表达式的内联工作流定义来执行任意操作系统命令。’”
“攻击者可以通过 INLINE、LAMBDA、DO_WHILE 和 SWITCH 任务类型利用配置为 HostAccess.ALL 或 allowAllAccess(true) 的未沙箱化 GraalVM 评估器，通过 Java 反射或直接子进程调用来调用任意系统命令。”
Fortinet 本周发布的疫情警报中表示，它观察到攻击者积极针对易受 CVE-2026-58138 影响的 Orkes Conductor 服务器，通过向 Conductor 工作流 API 提交包含 JavaScript 或 Python 表达式的精心构造的工作流定义。
“由于易受攻击的评估器可以配置为不受限制的主机访问，攻击者可以逃离预期的脚本环境，并以 Conductor 进程的权限执行任意操作系统命令，”Fortinet 表示。
截至 2026 年 9 月 9 日，该公司表示在 24 小时内阻止了 1,290 次攻击尝试，代表每日活动增加了 132%。在 2026 年 9 月 2 日至 9 日之间，几乎阻止了 7,000 次尝试。大多数攻击活动据称源自德国、香港、印度尼西亚、阿联酋和印度。
来自 Previdian 的遥测数据显示，自 2026 年 7 月 24 日以来，来自法国和美国的两个唯一 IP 地址对其蜜罐进行了三次利用尝试。同样，Empirical Security 注意到，最近在 2026 年 8 月 21 日检测到了野外利用。
建议使用受影响版本的组织升级到 Conductor 3.30.2 或更高版本，以解决该漏洞。如果无法立即修补，建议限制对 Conductor 工作流 API 端点的外部访问，将 Conductor 实例放置在适当的网络访问控制后面，并监控可疑的工作流提交和意外的命令执行。
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。