기업용 워크플로우 자동화 플랫폼인 Orkes Conductor에서 인증 없이 원격으로 시스템을 완전히 장악할 수 있는 치명적인 취약점(CVE-2026-58138)이 발견됐으며, 현재 실제 공격에 활발히 악용되고 있습니다. 공격자는 로그인 없이도 악성 JavaScript·Python 코드가 담긴 워크플로우 정의를 API에 제출하는 것만으로 서버의 운영체제 명령을 마음대로 실행할 수 있습니다. 보안업체 Fortinet은 2026년 9월 9일 단 하루에만 1,290건의 공격 시도를 차단했으며, 9월 2~9일 사이 총 7,000건에 가까운 시도가 탐지됐습니다. 영향을 받는 버전(3.21.21 이상 ~ 3.30.2 미만)을 사용 중이라면 즉시 3.30.2 이상으로 업그레이드해야 하며, 패치가 어렵다면 외부에서 Conductor API 엔드포인트에 접근하지 못하도록 네트워크를 차단해야 합니다.
Orkes Conductor 워크플로우 플랫폼에서 인증 전 원격 코드 실행(Pre-Auth RCE) 취약점 CVE-2026-58138(CVSS 9.8)이 발견됐으며, Fortinet이 실제 대규모 공격 캠페인을 확인했습니다.
공격자는 인증 없이 Conductor 프로세스 권한으로 임의의 OS 명령을 실행할 수 있어 서버 완전 장악이 가능합니다. 9월 2~9일 사이 약 7,000건의 공격이 탐지됐으며 독일·홍콩·인도네시아·UAE·인도 등지에서 활동이 확인됐습니다.
GraalVM 스크립트 평가기가 HostAccess.ALL 또는 allowAllAccess(true)로 설정된 상태에서 INLINE, LAMBDA, DO_WHILE, SWITCH 태스크 타입이 샌드박스 없이 실행되어, 공격자가 Java 리플렉션이나 서브프로세스 호출로 OS 명령을 실행할 수 있습니다.
공급사는 Conductor 3.30.2에서 패치를 배포했습니다. 즉시 패치가 불가하면 Conductor 워크플로우 API 엔드포인트에 대한 외부 접근 차단, 네트워크 접근 통제 적용, 비정상 워크플로우 제출 및 명령 실행 모니터링이 권장됩니다.
Orkes Conductor를 인터넷 또는 신뢰할 수 없는 네트워크에 노출 중이라면 즉각 패치 또는 API 엔드포인트 격리가 필요합니다. 허니팟 데이터 기준 최초 공격 시도는 2026년 7월 24일로 확인되었으므로 7월 이후 침해 여부를 함께 검토해야 합니다.
본문
Ravie Lakshmanan · 2026년 9월 19일 · 취약점 / 웹 보안
Fortinet에 따르면, Orkes Conductor에 영향을 미치는 치명적인 취약점이 현재 실제 환경에서 활발히 악용되고 있습니다.
해당 취약점은 CVE-2026-58138(CVSS v3.1 점수: 9.8 / CVSS v4 점수: 9.3)이며, 비인증 원격 코드 실행(unauthenticated remote code execution) 사례에 해당합니다.
NIST 국가 취약점 데이터베이스(NVD)에 게재된 설명에 따르면, "Orkes Conductor 3.21.21 버전 이상 3.30.2 미만에는 비인증 원격 코드 실행 취약점이 존재하며, 원격 공격자가 인증 전 워크플로우 API 엔드포인트에 악성 JavaScript 또는 Python 표현식을 포함한 인라인 워크플로우 정의를 제출해 임의의 OS 명령을 실행할 수 있습니다."
"공격자는 HostAccess.ALL 또는 allowAllAccess(true)로 구성된 샌드박스 비적용 GraalVM 평가기를 INLINE, LAMBDA, DO_WHILE, SWITCH 태스크 타입을 통해 악용하여, Java 리플렉션이나 직접적인 서브프로세스 호출로 임의의 시스템 명령을 실행할 수 있습니다."
Fortinet이 이번 주 발령한 아웃브레이크 경보에 따르면, 공격자들이 CVE-2026-58138에 취약한 Orkes Conductor 서버를 대상으로 Conductor 워크플로우 API에 JavaScript 또는 Python 표현식이 담긴 조작된 워크플로우 정의를 제출하는 방식으로 활발히 공격 중임이 관측됐습니다.
Fortinet은 "취약한 평가기가 무제한 호스트 접근 권한으로 구성될 수 있기 때문에, 공격자는 의도된 스크립팅 환경을 탈출하여 Conductor 프로세스 권한으로 임의의 운영체제 명령을 실행할 수 있다"고 밝혔습니다.
2026년 9월 9일 기준으로 회사 측은 24시간 이내에 1,290건의 공격 시도를 차단했으며, 이는 일일 활동 대비 132% 증가한 수치입니다. 2026년 9월 2일부터 9일 사이에는 약 7,000건의 시도가 차단됐습니다. 공격 활동의 대부분은 독일, 홍콩, 인도네시아, 아랍에미리트(UAE), 인도에서 발생한 것으로 알려졌습니다.
Previdian의 텔레메트리 데이터에 따르면, 2026년 7월 24일부터 프랑스와 미국 소재 두 개의 고유 IP 주소로부터 허니팟에 대한 세 건의 익스플로잇 시도가 확인됐습니다. 마찬가지로 Empirical Security도 2026년 8월 21일을 가장 최근 시점으로 실제 환경에서의 악용을 탐지했다고 밝혔습니다.
영향을 받는 버전을 사용 중인 조직은 해당 취약점을 해결한 Conductor 3.30.2 이상 버전으로 즉시 업그레이드할 것을 권고합니다. 즉각적인 패치 적용이 어려운 경우, Conductor 워크플로우 API 엔드포인트에 대한 외부 접근 제한, 적절한 네트워크 접근 통제 뒤에 Conductor 인스턴스 배치, 의심스러운 워크플로우 제출 및 예상치 못한 명령 실행에 대한 모니터링을 권장합니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
