オーケストレーション基盤「Orkes Conductor」に深刻な脆弱性、認証前の遠隔コード実行を狙う攻撃が拡大

要点

• マイクロサービスなどのワークフローを統合管理する「Orkes Conductor」において、認証を経ずに遠隔から任意のOSコマンドを実行できる深刻な脆弱性（CVE-2026-58138）が判明した。
• セキュリティ企業Fortinetの観測により、実際の運用環境を狙った悪用攻撃が活発化しており、1週間で約7,000件の攻撃試行が遮断されたことが明らかになった。
• 影響を受ける対象はバージョン3.21.21から3.30.2未満であり、開発元より修正版となるバージョン3.30.2以降が公開されている。
• 即時のアップデートが難しい環境向けには、APIエンドポイントへの外部アクセス制限やネットワーク制御などの緩和策が案内されている。

リード文

ワークフローオーケストレーションプラットフォーム「Orkes Conductor」に存在する深刻な脆弱性を突いたサイバー攻撃が、実際の環境で活発に行われていることがセキュリティ企業各社の調査で明らかになった。セキュリティ企業のFortinetが2026年9月に公開した脅威アラートによると、認証を行わずに遠隔からシステムを不正操作できる脆弱性「CVE-2026-58138」を標的とした攻撃が急増しているという。影響を受けるバージョンを使用している組織に対し、修正プログラムの適用やアクセス制御の強化が呼びかけられている。

脆弱性「CVE-2026-58138」の概要と危険度

今回確認された「CVE-2026-58138」は、認証前の段階で遠隔から任意のコードを実行（Pre-Auth RCE）できる脆弱性である。共通脆弱性評価システム（CVSS）による深刻度スコアは、CVSS v3.1で「9.8」、CVSS v4で「9.3」と評価されており、極めて高い危険度として分類されている。

米国国立標準技術研究所（NIST）の脆弱性データベース（NVD）の公開情報によると、この欠陥はOrkes Conductorのバージョン3.21.21から3.30.2未満に存在する。攻撃者は認証プロセスを経ることなく、ワークフローを処理するAPIエンドポイントに対して悪意のあるスクリプトを含んだワークフロー定義を送信することで、対象サーバー上で任意のオペレーティングシステム（OS）コマンドを実行できる状態になっていたという。

脆弱性が発生する技術的要因

本脆弱性の根本的な要因は、ワークフロー内のスクリプト評価処理における権限設定の不備にあると説明されている。Orkes Conductor内部で多言語実行環境を提供するGraalVMエバリュエーターにおいて、ホスト環境への無制限なアクセスを許可する設定（HostAccess.ALL や allowAllAccess(true)）が適用されていた。

このサンドボックス化されていない環境に対し、攻撃者は以下のタスクタイプを悪用して細工したスクリプトを投入する。

• INLINE タスク
• LAMBDA タスク
• DO_WHILE タスク
• SWITCH タスク

これらの処理を通じてJavaScriptまたはPythonの悪意ある式が解釈されると、Javaのリフレクション機能や直接的なサブプロセスの呼び出しが行われる。結果として、攻撃者はスクリプト実行用の制限されたサンドボックスを完全に脱出し、サーバー上でConductorプロセスが保持している実行権限のまま、システムコマンドを直接実行することが可能になる構造となっていた。

観測されている攻撃動向と被害の拡大

セキュリティ監視機関や研究機関からの報告により、この脆弱性を狙った攻撃は広範囲で確認されている。Fortinetが発行したアウトブレイクアラートによると、2026年9月2日から9月9日までの1週間で、約7,000件の悪用試行がブロックされた。特に9月9日時点では、わずか24時間の間に1,290件の攻撃が検知・遮断されており、日次の攻撃活動が132%増加したと報告されている。

Fortinetの分析では、攻撃のトラフィックは主にドイツ、香港、インドネシア、アラブ首長国連邦（UAE）、インドなどの地域から発信されていることが観測された。

また、攻撃活動は9月以前から断続的に行われていたことも判明している。セキュリティ組織Previdianのテレメトリデータによると、2026年7月24日以降、フランスと米国の2か所の独立したIPアドレスからハニーポットに対する3件の攻撃試行が記録されていた。さらに、調査会社Empirical Securityも2026年8月21日の時点で実際の悪用活動を検知していたことを明らかにしている。

推奨される対策と回避措置

影響を受けるバージョン（3.21.21から3.30.2未満）のOrkes Conductorを運用している組織に対し、脆弱性が修正された「Conductor 3.30.2」以降のバージョンへの速やかなアップグレードが強く推奨されている。

運用の都合等により直ちにパッチを適用できない環境に向けては、以下の回避策および緩和措置を実施することが案内されている。

• ConductorのワークフローAPIエンドポイントに対する外部インターネットからの直接アクセスを遮断・制限する
• 適切なネットワークアクセスコントロールリスト（ACL）やファイアウォールの内側にConductorインスタンスを配置する
• 不審なワークフロー定義の送信や、予期しないOSコマンドの実行が発生していないか、ログおよびプロセスの監視体制を強化する