CVE-2026-58138: Kritisk RCE-fejl i Orkes Conductor

CVE-2026-58138 er en sårbarhed i Orkes Conductor, en platform til at styre og automatisere forretningsworkflows mellem systemer. Fejlen ligger i, hvordan platformen evaluerer JavaScript- og Python-udtryk, som brugere kan lægge ind i en workflow-definition. Sårbarheden er en såkaldt code injection, hvor et program utilsigtet udfører kode, som en angriber har smuglet ind i et inputfelt. Konkret bruger Orkes Conductor et værktøj kaldet GraalVM til at køre disse udtryk, og i de sårbare versioner er det sat op uden sikkerhedsspærringer, kaldet sandboxing, der normalt forhindrer udtrykkene i at tilgå styresystemet. Det betyder, at en angriber kan sende en workflow-definition til systemets API, altså dets programmerbare grænseflade, og få den til at afvikle vilkårlige kommandoer direkte på serveren. Det kræver hverken login eller nogen handling fra en bruger.

Sårbarheden rammer Orkes Conductor i versionerne 3.21.21 og frem til, men ikke inklusive, 3.30.2. Det gælder virksomheder og kommuner, der selv drifter Orkes Conductor til at orkestrere workflows mellem interne systemer, mikroservices eller integrationer, typisk i forbindelse med sagsbehandling, ordrestyring eller dataudveksling mellem fagsystemer. Er Conductor eksponeret på internettet eller tilgængelig fra et delt netværk, er risikoen størst, fordi angrebet ikke kræver adgangskode.

En angriber kan opnå fuld kontrol over den server, hvor Orkes Conductor kører, uden at have brugernavn eller adgangskode. Herfra kan angriberen læse og ændre data, installere skadelig kode, oprette adgang til andre systemer på netværket eller bruge serveren som springbræt videre ind i virksomhedens infrastruktur. For en dansk virksomhed betyder det typisk risiko for driftsstop i de systemer, workflowet styrer, tab eller lækage af forretningsdata og i værste fald spredning af ransomware til resten af netværket.

CVSS-score er 9,8 ud af 10, hvilket er den højeste alvorlighed. Angrebet kræver ingen godkendelse, ingen adgangskode og ingen handling fra en bruger, det udføres over netværket mod systemets API. Kompleksiteten er lav, hvilket betyder, at angrebet ikke kræver særlige forudsætninger eller tilfældigheder for at lykkes. Der er ikke oplyst tegn på, at sårbarheden allerede udnyttes aktivt, men den tekniske beskrivelse er detaljeret nok til, at et angreb kan konstrueres relativt hurtigt.

Det vigtigste er at lukke adgangen til den sårbare funktion og opdatere platformen.

1. Opdatér Orkes Conductor til version 3.30.2 eller nyere. Det lukker selve hullet.
2. Kan opdateringen ikke ske med det samme, så afskær adgang til workflow-API’et fra internettet og begræns det til betroede interne IP-adresser eller et VPN.
3. Gennemgå konfigurationen af GraalVM-evaluatorerne og fjern indstillinger som HostAccess.ALL eller allowAllAccess(true), så scriptudtryk ikke kan tilgå styresystemet.
4. Gennemgå logs for workflow-API’et for usædvanlige eller ukendte workflow-definitioner indsendt før opdateringen.
5. Skift adgangskoder og nøgler, der har været tilgængelige fra den berørte server, hvis I finder tegn på misbrug.
6. Hent hjælp udefra, hvis I ikke selv kan verificere, om systemet er opdateret korrekt, eller hvis I finder spor af et angreb.