Критическая уязвимость в Orkes Conductor используется в атаках

Уязвимость CVE-2026-58138 (CVSS 9.8) в Orkes Conductor позволяет без аутентификации выполнять произвольный код через inline-задачи workflow. Патч вышел в июне в версии 3.30.2, PoC опубликован в августе, атаки зафиксированы с 21 августа, Fortinet заблокировала около 1300 попыток 8–9 сентября.

• CVE-2026-58138 с оценкой CVSS 9.8 — RCE без аутентификации
• Патч выпущен в июне в Orkes Conductor 3.30.2
• Атаки в дикой природе с 21 августа, PoC — с начала августа
• Fortinet заблокировала ~1300 попыток эксплуатации 8–9 сентября