Критична уязвимост, засягаща Orkes Conductor, се експлоатира активно, според Fortinet.
Въпросната уязвимост е CVE-2026-58138 (CVSS v3.1 оценка: 9.8/CVSS v4 оценка: 9.3), която се отнася до случай на дистанционно изпълнение на код без необходимост от автентикация.
„Orkes Conductor 3.21.21 преди 3.30.2 съдържа уязвимост за дистанционно изпълнение на код без автентикация, която позволява на отдалечени атакуващи да изпълняват произволни команди на операционната система чрез изпращане на вградени дефиниции за работни процеси (workflows), съдържащи злонамерени JavaScript или Python изрази към крайната точка на API за работни процеси преди автентикация“, се казва в описанието на недостатъка в Националната база данни за уязвимости на NIST (NVD).
„Атакуващите могат да експлоатират неизолирани GraalVM оценители, конфигурирани с HostAccess.ALL или allowAllAccess(true) чрез типове задачи INLINE, LAMBDA, DO_WHILE и SWITCH, за да извикват произволни системни команди чрез Java рефлексия или директни извиквания на подпроцеси.“
В предупреждение за тревога, издадено тази седмица, Fortinet съобщи, че е наблюдавал как киберпрестъпници активно насочват атаките си към сървъри с Orkes Conductor, уязвими към CVE-2026-58138, като изпращат модифицирани дефиниции на работни процеси, съдържащи JavaScript или Python изрази, към API за работни процеси на Conductor.
„Тъй като уязвимите оценители могат да бъдат конфигурирани с неограничен достъп до хоста, атакуващият може да излезе от предвидената среда за скриптове и да изпълни произволни команди на операционната система с привилегиите на процеса Conductor“, заявяват от Fortinet.
Към 9 септември 2026 г. компанията съобщава, че е блокирала 1 290 опита за атака в рамките на 24 часа, което представлява увеличение с 132% в дневната активност. Почти 7 000 опита са били блокирани между 2 и 9 септември 2026 г. Основната част от атакуващата активност произхожда от Германия, Хонконг, Индонезия, ОАЕ и Индия.
Данни от телеметрията на Previdian показват три опита за експлоатация срещу техни капани за хакери (honeypots) от 24 юли 2026 г. насам, произхождащи от два уникални IP адреса във Франция и САЩ. Подобно на това, Empirical Security отбелязва, че е засекла активна експлоатация още на 21 август 2026 г.
Организациите, използващи засегнатите версии, се съветват да актуализират до Conductor 3.30.2 или по-нова версия, която отстранява уязвимостта. Ако незабавното инсталиране на корекции за сигурност не е възможност, се препоръчва да се ограничи външният достъп до крайните точки на API на Conductor, да се поставят инстанциите на Conductor зад подходящи контроли за мрежов достъп и да се следи за съмнително изпращане на работни процеси и неочаквано изпълнение на команди.