Lỗ hổng RCE nghiêm trọng trong Orkes Conductor bị khai thác
"Fortinet reported active in-the-wild exploitation of CVE-2026-58138, a critical unauthenticated remote code execution flaw in Orkes Conductor workflow platform versions before 3.30.2. The issue allows attackers to submit malicious inline workflow definitions with JavaScript or Python expressions to the workflow API and execute arbitrary OS commands; the fix is to upgrade to Conductor 3.30.2 or later and restrict API exposure if patching is delayed."
Rủi ro ở mức rất cao do không cần xác thực, có thể dẫn tới thực thi lệnh từ xa và chiếm quyền trên máy chủ chạy Conductor.
Có thể gây gián đoạn dịch vụ workflow, phát sinh rủi ro xâm nhập hệ thống và ảnh hưởng tới các quy trình vận hành phụ thuộc vào Orkes Conductor.
Fortinet cho biết đang ghi nhận hoạt động khai thác thực tế đối với CVE-2026-58138 trong Orkes Conductor, nền tảng workflow bị ảnh hưởng ở các phiên bản trước 3.30.2. Lỗ hổng này là remote code execution không cần xác thực, cho phép kẻ tấn công gửi các định nghĩa workflow được tạo sẵn chứa biểu thức JavaScript hoặc Python độc hại tới workflow API để thực thi lệnh hệ điều hành tùy ý.
Theo mô tả kỹ thuật, vấn đề liên quan đến các evaluator GraalVM không được cô lập, có thể được cấu hình với HostAccess.ALL hoặc allowAllAccess(true) trong các task như INLINE, LAMBDA, DO_WHILE và SWITCH. Khi bị khai thác, mã độc có thể thoát khỏi môi trường script dự kiến và chạy lệnh với quyền của tiến trình Conductor.
Fortinet cho biết đã chặn 1.290 lượt tấn công trong 24 giờ tính đến 9/9/2026, và gần 7.000 lượt trong giai đoạn 2/9–9/9/2026. Nguồn tấn công chủ yếu được ghi nhận từ Đức, Hồng Kông, Indonesia, UAE và Ấn Độ.
Khuyến nghị: nâng cấp lên Conductor 3.30.2 hoặc mới hơn. Nếu chưa thể vá ngay, cần hạn chế truy cập bên ngoài vào workflow API, đặt hệ thống sau các kiểm soát truy cập mạng phù hợp và theo dõi các workflow submission bất thường cùng dấu hiệu command execution ngoài dự kiến.