CVE-2026-58138 Orkes Conductor RCE
漏洞概述Orkes Conductor 存在严重漏洞 CVE-2026-58138，CVSS 评分 9.8，属于未认证远程代码执行（RCE），目前已被攻击者在野利用。Conductor 是开源统一企业框架，用于编排微服务、工作流和 AI agent。
利用方式
攻击者可通过向 workflow API endpoint 提交 inline workflow definitions 来触发漏洞。在 INLINE 任务以及 LAMBDA、DO_WHILE、SWITCH 任务中，Conductor 会评估用户提供的 JavaScript 或 Python 表达式，并在配置为 HostAccess.ALL 的 GraalVM 上下文上构建 evaluator。该配置会禁用沙箱，攻击者代码可反射到 Java runtime，并以 Conductor 进程权限执行操作系统命令，而该进程通常以 root 权限运行。
由于开源服务器默认不强制认证，workflow API 处于开放状态。单个未认证 POST 请求即可注册一个包含恶意 INLINE 任务的 workflow，并启动执行。
时间线与在野情况
CVE-2026-58138 已在 6 月发布的 Orkes Conductor 3.30.2 中修复。8 月初出现针对该漏洞的 PoC 代码，随后开始出现利用活动。Empirical Security 于 8 月 21 日发现野利用；Fortinet 在 9 月 8 日至 9 日观察到约 1300 次利用尝试。Fortinet 本周发布了针对该漏洞持续利用的 outbreak alert。
修复与缓解
[*]升级到 Orkes Conductor 3.30.2 或更高版本。
[*]限制外部对 Conductor workflow API endpoint 的访问。
[*]确保 Conductor 部署在防火墙后，相关服务不要直接暴露到互联网。
[*]监控实例中的可疑 workflow 提交和未授权命令执行。
[*]审查运行受影响版本的系统，检查是否存在入侵迹象。
关键词
CVE-2026-58138、Orkes Conductor、未认证 RCE、GraalVM HostAccess.ALL、在野利用、workflow API、3.30.2。
Re: CVE-2026-58138 Orkes Conductor RCE
感谢分享，这个漏洞确实挺严重的，CVSS 9.8 还已经被在野利用，不能只当普通漏洞看待。尤其是开源服务器默认不强制认证，workflow API 如果直接暴露，单个未认证 POST 就能注册包含恶意 INLINE 任务的 workflow 并启动执行，配合 GraalVM HostAccess.ALL 关掉沙箱后，基本等于可以反射到 Java runtime，再以 Conductor 进程权限执行系统命令，而很多部署又是 root，风险很高。 我们这边准备先排查版本，低于 3.30.2 的尽快升级，同时把 workflow API 从公网收回来，放到防火墙后只允许必要来源访问。日志上重点看异常 workflow 提交，以及 INLINE、LAMBDA、DO_WHILE、SWITCH 任务里有没有可疑表达式和未授权命令执行迹象。Fortinet 都发 outbreak alert 了，还在用受影响版本的话最好别拖，先做暴露面收敛和入侵排查。Re: CVE-2026-58138 Orkes Conductor RCE
感谢分享，这个漏洞确实挺严重的，CVSS 9.8 加上未认证 RCE，而且已经在野利用，风险很高。按帖子里说的，最优先还是尽快升级到 3.30.2 或更高版本；如果暂时没法升级，就先把 workflow API endpoint 从公网收掉，放到防火墙后面并限制访问。然后重点排查有没有可疑的 workflow 提交、INLINE、LAMBDA、DO_WHILE、SWITCH 任务里的异常表达式，以及未授权命令执行迹象。尤其 Conductor 进程常以 root 权限运行，一旦被利用后果会很大，所以升级之外也要认真查入侵痕迹。Re: CVE-2026-58138 Orkes Conductor RCE
感谢楼主整理，这个 CVE 确实挺要命的。CVSS 9.8、未认证 RCE、已经在野利用，再加上 Conductor 默认不强制认证、进程常以 root 跑，几个点叠一起风险很高。尤其 GraalVM 配成 HostAccess.ALL 等于把沙箱关了，攻击者只要提交带恶意 INLINE 任务的 workflow 就能打到系统命令执行。手上有用 Conductor 的，还是赶紧确认版本，能升到 3.30.2 或更高就尽快升；同时把 workflow API 限制访问，别直接暴露在公网，最好放在防火墙后面。日志和实例也要多留意，看看有没有可疑的 workflow 提交或未授权命令执行。PoC 出来后利用量通常会上来，Fortinet 的 outbreak alert 也说明还在持续被扫，早处理早安心。
页:
[1]