Fortinet beschreibt das Angriffsmuster konkret: Die Täter senden präparierte Workflow-Definitionen mit JavaScript- oder Python-Ausdrücken an die Workflow-API von Conductor. „Da verwundbare Auswerter mit uneingeschränktem Host-Zugriff konfiguriert sein können, kann der Angreifer aus der vorgesehenen Skriptumgebung ausbrechen und beliebige Betriebssystembefehle mit den Rechten des Conductor-Prozesses ausführen", so das Unternehmen.
Die Zahlen aus der Fortinet-Telemetrie zeigen einen deutlichen Anstieg: Zum Stand 9. September 2026 blockierte das Unternehmen innerhalb von 24 Stunden 1.290 Angriffsversuche – ein Plus von 132 Prozent gegenüber der vorherigen Tagesaktivität. Zwischen dem 2. und dem 9. September 2026 waren es insgesamt knapp 7.000 abgewehrte Versuche. Der Großteil der Aktivität ging laut Fortinet von Deutschland, Hongkong, Indonesien, den Vereinigten Arabischen Emiraten und Indien aus.
Auch andere Anbieter registrieren Ausnutzungsversuche. Previdian verzeichnete nach eigenen Telemetriedaten seit dem 24. Juli 2026 drei Zugriffsversuche auf seine Honeypots, ausgehend von zwei unterschiedlichen IP-Adressen in Frankreich und den USA. Empirical Security stellte nach eigenen Angaben zuletzt am 21. August 2026 eine Ausnutzung in freier Wildbahn fest.
Technisch liegt die Ursache in der Konfiguration der GraalVM-Auswerter: Sind sie mit HostAccess.ALL oder allowAllAccess(true) eingerichtet, fehlt jede Sandbox-Begrenzung. Über die Task-Typen INLINE, LAMBDA, DO_WHILE und SWITCH lassen sich dann per Java-Reflection oder über direkte Unterprozessaufrufe Systemkommandos absetzen. Da der Zugriff auf den Workflow-Endpunkt keine Authentifizierung voraussetzt, genügt Netzwerksichtbarkeit des Servers.
Organisationen, die eine betroffene Version einsetzen, sollten auf Conductor 3.30.2 oder neuer aktualisieren – dort ist die Schwachstelle behoben. Ist ein sofortiges Einspielen des Updates nicht möglich, empfiehlt sich laut den Hinweisen, den externen Zugriff auf die Workflow-API-Endpunkte einzuschränken, Conductor-Instanzen hinter geeignete Netzwerkzugriffskontrollen zu stellen sowie auffällige Workflow-Einreichungen und unerwartete Befehlsausführungen zu überwachen.