Alerta crítica: descubren RCE sin autenticación en Orkes Conductor
Si trabajás en infraestructura de tecnología o supervisás sistemas críticos, prestá atención: acaban de descubrir una vulnerabilidad seria en Orkes Conductor que permite a atacantes ejecutar código sin necesidad de autenticarse. Y lo peor es que ya se está explotando en el mundo real.
¿Qué pasó?
La firma de seguridad Fortinet reportó que existe una falla crítica identificada como CVE-2026-58138 en la plataforma Orkes Conductor, un software que se usa para orquestar flujos de trabajo automatizados. La vulnerabilidad afecta a las versiones anteriores a la 3.30.2 (específicamente desde la 3.21.21 en adelante) y permite a un atacante remoto ejecutar código arbitrario sin necesidad de credenciales de acceso.
Con una puntuación CVSS de 9.8/10 (CVSS v3.1) y 9.3/10 (CVSS v4), esto se considera una vulnerabilidad crítica de alta severidad. El hecho de que sea una ejecución remota de código pre-autenticación (sin necesidad de login) la hace especialmente peligrosa, porque cualquiera con acceso a la red puede intentar explotarla.
Lo inquietante es que Fortinet ya documentó casos activos de explotación en entornos productivos, lo que significa que los atacantes no solo conocen la vulnerabilidad, sino que la están usando para comprometer sistemas reales ahora mismo.
¿Por qué importa en Argentina y América Latina?
Orkes Conductor es una herramienta relativamente popular en empresas que necesitan automatizar procesos complejos: desde fintech hasta empresas de logística, retail y servicios en la nube. En Argentina y toda América Latina, muchas startups de tecnología y empresas medianas la usan para orquestar sus pipelines de datos e integraciones entre sistemas.
Si tu organización depende de esta plataforma para operaciones críticas (procesamiento de pagos, logística, análisis de datos), estás potencialmente expuesto. Los atacantes podrían no solo robar información sensible, sino también instalar malware, ejecutar ransomware o sabotear tus servicios. Para una pyme o startup regional, eso podría significar horas o días sin operaciones.
¿Qué se recomienda?
Acción inmediata: Si usás Orkes Conductor en tu infraestructura, actualizá a la versión 3.30.2 o superior lo antes posible. No es una actualización opcional: es crítica.
Mientras tanto: Implementá controles de red para restringir el acceso a la plataforma solo desde IPs confiables. Monitoreá los logs de acceso en busca de actividad anómala o intentos de conexión sospechosos.
Plan general: Hacé un inventario de todas las herramientas de orquestación y automatización que usás en tu infraestructura. Es común que estos servicios queden olvidados en la lista de prioridades de seguridad, pero son objetivos de alto valor para los atacantes.
Si trabajás en un banco, fintech, empresa de e-commerce o cualquier organización que maneje datos sensibles, considerá contactar a tu proveedor de seguridad para auditar exposiciones similares.
Fuente: The Hacker News
