Orkes Conductorの重大な脆弱性が攻撃で悪用中

認証なしで悪用可能なOrkes Conductorの重大な脆弱性が、少なくとも1カ月前から攻撃者の標的にされています。

Conductorは、マイクロサービス、ワークフロー、AIエージェントのオーケストレーションを可能にするオープンソースの統合エンタープライズフレームワークです。

CVE-2026-58138(CVSSスコア9.8)として追跡されているこの重大な脆弱性は、ワークフローAPIエンドポイントに送信されるインラインワークフロー定義を通じて悪用可能なリモートコード実行(RCE)の問題であると説明されています。

攻撃者はこの定義に悪意のあるJavaScriptまたはPythonの式を埋め込むことで、任意のシステムコマンドを呼び出せます。この脆弱性は、Conductorがワークフロー内でスクリプトを実行する仕組みに影響します。

「INLINEタスク(およびLAMBDA、DO_WHILE、SWITCHの各タスク)は、ユーザーが指定したJavaScriptまたはPythonの式を評価します。Conductorはこの評価エンジンを、HostAccess.ALLが設定されたGraalVMコンテキスト上に構築しています」と、Empirical Securityは説明しています。

この設定によってサンドボックスは無効化され、攻撃者が指定したコードはJavaランタイムに反映され、多くの場合root権限で動作するConductorプロセスとしてOSコマンドを実行してしまいます。

「オープンソース版のサーバーはデフォルトで認証を一切強制せず、ワークフローAPIを開放したままにしているため、ログインによる障壁は存在しません。悪意のあるINLINEタスクを登録して起動するだけの、認証を経ない単発のPOSTリクエストで攻撃は成立します」とEmpiricalは指摘しています。

CVE-2026-58138は、Orkes Conductorバージョン3.30.2で6月に修正されました。これを標的とした概念実証(PoC)コードは8月上旬に公開され、その直後から悪用が始まりました。

Empiricalは8月21日に実際の攻撃を確認しており、Fortinetは9月8日から9日にかけて約1,300件の悪用試行をブロックしたとしています。今週、Fortinetはこの脆弱性が継続的に悪用されている状況について、アウトブレイクアラートを発表しました。

組織はConductor 3.30.2以降へのアップデートに加え、Conductorのワークフローエンドポイントへの外部アクセスを制限し、Conductorの導入環境がファイアウォールの内側にあり、サービスがインターネットに直接公開されていないことを確認する必要があります。

また、不審なワークフロー送信や不正なコマンド実行がないかインスタンスを監視するとともに、脆弱なバージョンを稼働しているシステムに侵入の兆候がないか確認することも求められます。