5 min de lecture
~5 minutes
CVE-2026-58138, CVSS 9.8 : un attaquant sans compte envoie une définition de workflow piégée à Orkes Conductor et exécute des commandes sur le serveur. Fortinet compte près de 7 000 tentatives bloquées en une semaine, et les premières traces d’exploitation datent de fin juillet.
Conductor est un moteur d'orchestration de workflows, né comme projet open source chez Netflix, dont Orkes édite la plateforme. On y décrit une suite de tâches dans une définition de workflow (appels vers des services, décisions, boucles, attentes) et le moteur les déroule, en gardant l'état de chaque étape pour reprendre après un échec. Le projet se présente aujourd'hui comme une plateforme d'orchestration de workflows et d'agents IA. Concrètement, c'est le chef d'orchestre qui déclenche et coordonne les services d'une organisation, et ce qui le rend sensible, c'est tout ce qu'il a le droit d'appeler.
Le parallèle avec le CI/CD. Un moteur de ce genre ressemble beaucoup à une plateforme de CI/CD comme Jenkins, GitLab CI ou GitHub Actions. Dans les deux cas, on dépose une définition (un workflow, un pipeline) qui décrit des étapes, et la plateforme l'exécute avec les droits et les secrets nécessaires pour appeler d'autres systèmes. Dans les deux cas aussi, la question de sécurité tient en une phrase : qui peut déposer une définition, et avec quels droits s'exécute-t-elle ?
Pourquoi j'en parle ici. Parce que c'est la même famille de cibles que celles dont je parle depuis des semaines (voir des mois. A mon age je perds un peu la mémoire): une simple issue GitHub qui suffit à voler les secrets d'une CI, un
pull_request_target laissé ouvert qui donne les pipelines de release d'AsyncAPI, Artifactory et GitLab au catalogue KEV. Ces plateformes concentrent des accès et exécutent du code décrit par d'autres. Quand, comme ici, l'API qui reçoit les définitions n'exige aucune authentification, on n'a plus un pipeline mal protégé, on a de l'exécution de code offerte. Et comme Conductor se présente désormais comme une plateforme d'orchestration d'agents IA, la même faille touche aussi les chaînes agentiques.
Une requête, aucun identifiant, un shell
Orkes Conductor orchestre des workflows. Pour décider si une boucle continue ou quelle branche prendre, il faut évaluer des expressions, et Conductor confie ce travail à des évaluateurs GraalVM qui exécutent du JavaScript ou du Python. Rien d’exotique, à peu près tous les moteurs d’orchestration font ça.
Ce qui l’est moins, c’est la configuration de ces évaluateurs : HostAccess.ALL, ou allowAllAccess(true). Le script n’est plus enfermé nulle part. Il appelle du code Java par réflexion, il lance un sous-processus, il fait ce qu’il veut avec les droits du service. Quatre types de tâches ouvrent cette porte : INLINE, LAMBDA, DO_WHILE et SWITCH.
Restait à savoir qui peut soumettre une de ces tâches. N’importe qui : l’API de workflows accepte une définition avant toute authentification. On dépose un workflow, le serveur l’exécute. Versions 3.21.21 à 3.30.1 touchées, correctif en 3.30.2. Le score est de 9,8 en CVSS v3.1 et de 9,3 en v4, ce qui à ce stade n’apprend pas grand-chose à personne.
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
Note du PandaRedacteur : un moteur de workflows joignable sans authentification devant un évaluateur de scripts sans sandbox, c’est un service d’exécution de code à la demande, et il est en libre accès.
L’exploitation a de l’avance sur l’alerte
C’est le passage qui justifie d’aller regarder votre inventaire aujourd’hui, pas lundi. Previdian a relevé trois tentatives sur ses honeypots dès le 24 juillet, depuis deux adresses situées en France et aux États-Unis. Le 21 août, Empirical Security confirme de l’exploitation dans la nature. Fortinet chiffre ensuite la montée : 1 290 tentatives sur 24 heures au 9 septembre, soit +132 % d’activité quotidienne, et près de 7 000 tentatives bloquées entre le 2 et le 9, en provenance d’Allemagne, de Hong Kong, d’Indonésie, des Émirats arabes unis et d’Inde.
Près de deux mois de scan avant la première ligne de presse. Je vois mal comment cette fenêtre n’aurait produit aucune victime. Une instance exposée en version antérieure à 3.30.2, je la traite comme potentiellement compromise jusqu’à preuve du contraire, et pas comme une ligne de plus dans le backlog de patch.
Ce que l’article ne dit pas
Autant le signaler plutôt que de boucher les trous au feeling. La source ne décrit pas ce que les attaquants exécutent une fois dans la place, ne livre aucun indicateur de compromission et ne chiffre pas le nombre d’instances exposées sur Internet. Elle reste également muette sur un éventuel classement au catalogue KEV de la CISA ; c’est le point qui m’intéresse le plus, parce que c’est lui qui déclenche les obligations de correction dans beaucoup d’organisations. À suivre.
Analyse STRIDE
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
Impact potentiel
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
Que faire aujourd’hui
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
📚 Quelques références pour aller plus loin
- The Hacker News : Critical Pre-Auth RCE in Orkes Conductor Workflow Platform Exploited in the Wild
- SSVC : arrêter de scorer les vulnérabilités, commencer à décider quoi en faire