Una vulnerabilità critica in Orkes Conductor, identificata come CVE-2026-58138, risulta già sfruttata in attacchi reali. Il difetto può consentire l’esecuzione remota di comandi sul sistema senza autenticazione ai danni delle installazioni vulnerabili.
Fortinet segnala una crescita dell’attività: il 9 settembre 2026 ha bloccato 1.290 tentativi in 24 ore, il 132% in più rispetto alla normale attività giornaliera osservata. L’aggiornamento a Conductor 3.30.2 o versioni successive è la misura indicata per correggere il problema.
Come funziona la vulnerabilità
La falla riguarda Orkes Conductor dalla versione 3.21.21 fino alle release precedenti alla 3.30.2. Secondo la descrizione riportata nel National Vulnerability Database, un aggressore remoto può inviare definizioni di workflow inline predisposte in modo malevolo all’API dei workflow prima dell’autenticazione.
Nel mirino ci sono espressioni JavaScript o Python inserite in determinati tipi di attività: INLINE, LAMBDA, DO_WHILE e SWITCH. Il problema nasce dagli evaluator GraalVM non isolati, configurati con accesso completo all’host: in queste condizioni il codice può uscire dall’ambiente di scripting e richiamare comandi del sistema operativo.
L’esecuzione avviene con i privilegi del processo Conductor. Non si tratta quindi di un semplice malfunzionamento dell’applicazione: un attaccante potrebbe eseguire comandi arbitrari sul server esposto, senza dover prima superare un accesso autenticato.
Attacchi osservati e numeri rilevati
Fortinet afferma di aver osservato tentativi diretti contro server Orkes Conductor esposti e suscettibili a CVE-2026-58138. Tra il 2 e il 9 settembre 2026 la società ha bloccato quasi 7.000 tentativi; il dato di 1.290 blocchi registrati nelle sole 24 ore del 9 settembre evidenzia un’accelerazione dell’attività.
La maggioranza dei tentativi rilevati da Fortinet proveniva da indirizzi associati a Germania, Hong Kong, Indonesia, Emirati Arabi Uniti e India. L’origine degli indirizzi, però, non identifica necessariamente gli autori degli attacchi: descrive soltanto la provenienza rilevata dalla telemetria.
Altri riscontri citati nel rapporto rafforzano il quadro. Previdian ha registrato tre tentativi contro i propri honeypot dal 24 luglio 2026, attribuiti a due indirizzi IP distinti situati in Francia e negli Stati Uniti. Empirical Security ha invece dichiarato di aver individuato sfruttamento della falla in natura almeno fino al 21 agosto 2026.
Cosa devono fare le organizzazioni esposte
La correzione indicata è l’upgrade a Conductor 3.30.2 o una release successiva. È il passaggio che affronta direttamente la vulnerabilità e dovrebbe avere priorità per chi utilizza le versioni interessate.
Quando l’aggiornamento immediato non è possibile, Fortinet raccomanda di limitare l’accesso esterno agli endpoint dell’API dei workflow e di collocare le istanze Conductor dietro controlli di accesso di rete appropriati. Va inoltre monitorato l’invio di workflow sospetti e qualsiasi esecuzione inattesa di comandi sul sistema.
Queste misure riducono l’esposizione, ma non sostituiscono la patch: il vettore sfruttato dagli attaccanti passa proprio dalle API che accettano definizioni di workflow prima dell’autenticazione.
Domande frequenti
Quali versioni di Orkes Conductor sono coinvolte?
La vulnerabilità interessa Orkes Conductor dalla 3.21.21 fino alle versioni precedenti alla 3.30.2. La release 3.30.2, e quelle successive, sono indicate come correttive.
Serve un account per sfruttare CVE-2026-58138?
No. La vulnerabilità è descritta come un’esecuzione remota di codice senza autenticazione: le definizioni di workflow malevole possono essere inviate all’endpoint API prima dell’accesso.
Qual è la mitigazione se non si può aggiornare subito?
Occorre restringere l’accesso esterno alle API dei workflow, applicare controlli di rete alle istanze Conductor e verificare workflow anomali o comandi inattesi. L’aggiornamento resta comunque la soluzione indicata.
Considerazioni finali
La gravità di questa falla non dipende soltanto dal punteggio elevato, ma dalla combinazione di due elementi concreti: l’assenza di autenticazione e la possibilità di arrivare ai comandi del sistema operativo attraverso workflow apparentemente legittimi. In una piattaforma costruita proprio per orchestrare processi, lasciare esposto questo percorso può avere conseguenze molto estese.
I quasi 7.000 tentativi bloccati in una settimana mostrano che non è il caso di trattare l’avviso come una correzione ordinaria da rimandare. L’elemento decisivo resta l’aggiornamento a Conductor 3.30.2 o successivo, affiancato dalla riduzione immediata dell’esposizione delle API dei workflow.