OpenClaws exponierte Control Panels: 15.200 Hosts für Remote-Code-Execution markiert

Das STRIKE-Threat-Intelligence-Team von SecurityScorecard verbrachte Anfang Februar 2026 einen Tag damit, das öffentliche Internet nach OpenClaw-Control-Panels zu scannen, und meldete am 9. Februar, es habe 42.900 eindeutige IP-Adressen gefunden, die in 82 Ländern antworteten, von denen 15.200 anfällig für Remote-Code-Execution zu sein schienen. Cyber Security News veröffentlichte die Ergebnisse am 10. Februar 2026, dem Datum, das der Eintrag trägt. Die Panels sind die Gateway-Konsole eines selbst gehosteten KI-Agenten, der mit dem Dateizugriff seines Besitzers läuft, daher heißt es in derselben Untersuchung, dass eine kompromittierte Instanz SSH-Schlüssel, Cloud-Anmeldedaten und aktive Browser-Sitzungen preisgibt. In den für diesen Beitrag gelesenen Quellen finden sich weder ein namentlich genanntes Opfer noch eine bestätigte Massenübernahme. Der vollständige Eintrag mit seinen Schweregrad- und Konfidenzstufen befindet sich im Orca AI Incident Archive, neben den anderen OpenClaw-Einträgen aus demselben Monat.

Was die Zahl einer genauen Lektüre wert macht, ist, dass sie nicht die Zahl in der Schlagzeile ist. Die Zahl 15.200 ist die Teilmenge, die STRIKE als ausnutzbar einstufte, nicht die Gesamtheit, die es exponiert vorfand. Dasselbe Team bezifferte die Gesamtzahl auf 42.900 eindeutige IP-Adressen, und sein eigenes Live-Dashboard declawed.io zählte noch immer mit.

Was der Scan gezählt hat – und warum seine Zahlen nicht übereinstimmen

STRIKEs Methode war Fingerprinting statt Login-Versuche. Das Team glich die Favicon-Dateien ab, die OpenClaw in seinen drei Branding-Ären ausliefert, glich TLS-Zertifikat-Common-Names, Reverse-DNS und Certificate-Transparency-Protokolle ab und bezog SecurityScorecards eigene Daten zu Sicherheitsvorfällen und Bedrohungsakteuren ein. Die veröffentlichte Progression ist ein nützliches Maß dafür, wie schnell sich das Bild veränderte: Eine titelbasierte Suche fand 24.034 Instanzen, Favicon-Fingerprinting bestätigte 40.214, und 23.505 davon zeigten eine aktive Control-Panel-Oberfläche (SecurityScorecard, 9. Februar 2026).

Die Schlagzeilenwerte sind die Werte, die die Executive Summary des Berichts angibt: {{1}}42,9K eindeutige IP-Adressen in 82 Ländern{{/1}}, {{2}}15,2K Instanzen, die als anfällig für RCE gekennzeichnet wurden{{/2}}, was der Bericht mit {{3}}35,4 % der beobachteten Bereitstellungen{{/3}} beziffert, {{4}}24K+ Instanzen, die mit bekannten CVEs in Verbindung gebracht werden{{/4}}, und 53,3K Instanzen, von denen behauptet wird, dass sie mit früherer Sicherheitsvorfallaktivität korrelieren. Die letzte Zahl ist größer als die 42,9K Gesamtsumme, in die sie eigentlich hineingehören soll, und SecurityScorecard erklärt die Diskrepanz in dem Beitrag nicht. Der Bericht besagt außerdem, dass die Zahlen alle 15 Minuten aktualisiert werden, was bedeutet, dass jeder einzelne Snapshot ein bewegliches Ziel ist.

Eine zweite, unabhängige Auswertung derselben Forschungsarbeit erschien am selben Tag und stimmt nicht damit überein. Infosecurity Magazine berichtete von 40.214 exponierten Instanzen, die mit 28.663 eindeutigen IP-Adressen verbunden waren, von 12.812 über RCE ausnutzbaren Instanzen, was sie mit 63 % der beobachteten Deployments bezifferte, von 549 Instanzen, die mit früherer Kompromittierungsaktivität korrelierten, und von 1.493 mit bekannten Schwachstellen (Phil Muncaster, 9. Februar 2026). Die beiden Darstellungen weichen bei der Korrelation mit Sicherheitsvorfällen um fast das Hundertfache voneinander ab, und ihre Schätzungen, wie viele Hosts tatsächlich ausnutzbar sind, unterscheiden sich um nahezu das Zweifache. Sie können nicht beide dieselbe Population mit demselben Nenner beschreiben, und keine der beiden Quellen gibt an, welchen Nenner sie verwendet hat. Die eigene Zahl des Archivs, 15.200, stammt aus der ersten dieser Darstellungen.

Das Control Panel eines Agenten ist keine Webseite.

Der Grund, warum ein falsch gebundener Port hier wichtig ist, ist das, was dahinter liegt. Ein OpenClaw-Gateway enthält die Anmeldedaten, mit denen der Agent handelt: das Verzeichnis für Anmeldedaten unter ~/.openclaw/credentials, SSH-Schlüssel in ~/.ssh, Browserprofile mit aktiven Sitzungen und die Messaging-Konten, über die der Agent kommuniziert. Die Liste von SecurityScorecard reicht weiter bis zu Cron-Jobs und Heartbeat-Hooks, die ein Angreifer zur Persistenz nutzen könnte, und bis zu dem, was sie den Memory-Kontext des Agenten nennt – alles, was der Agent über seinen Besitzer weiß.

Dass es sich dabei um eine Vererbung handelt, ist der eigentliche Befund, und der Bericht formuliert ihn ohne Ausschmückung: „Agentische KI erzeugt keine neuen Klassen von Schwachstellen. Sie erbt alte und verstärkt deren Auswirkung.“ Der Agent ist nicht die Schwachstelle. Er ist das Privileg, das ein gewöhnliches offengelegtes Admin-Panel heute mit sich bringt.

Die Behauptung zur Standardbindung – und wo sie enger gefasst ist, als sie klingt

Die ursächliche Behauptung von SecurityScorecard ist unverblümt: „Out of the box bindet sich OpenClaw an 0.0.0.0:18789, was bedeutet, dass es auf allen Netzwerkschnittstellen lauscht, einschließlich des öffentlichen Internets. Für ein derart mächtiges Tool sollte der Standard 127.0.0.1 sein (nur localhost). Das ist er nicht."

Das gilt für den einen Bereitstellungspfad und nicht für einen anderen, und der Unterschied ist für alle wichtig, die entscheiden müssen, ob sie betroffen sind. In der docker-compose.yml des Projekts unter dem Tag v2026.1.29 wird der Gateway-Container mit dem Flag --bind ${OPENCLAW_GATEWAY_BIND:-lan} gestartet, das standardmäßig auf die LAN-Adresse gesetzt ist, und dieselbe Datei veröffentlicht Port 18789 auf dem Host ohne Adresspräfix, wodurch er an jede Host-Schnittstelle gebunden wird. Das native Kommandozeilen-Gateway ist anders: In src/cli/gateway-cli/run.ts unter demselben Tag fällt der Bind-Wert auf „loopback“ zurück, wenn weder ein Flag noch eine Konfigurationseinstellung vorhanden ist, und der Prozess weigert sich, auf einer Nicht-Loopback-Adresse ohne ein gemeinsames Secret zu starten. Ein im Repository explain-openclaw veröffentlichter Community-Codereview trifft dieselbe Unterscheidung und argumentiert, dass die Formulierung „out of the box“ den Compose-Standard mit dem Standard der nativen CLI verwechselt.

Das verkleinert nicht die Exposition, die der Scan gefunden hat. Ein Container, der aus der projekteigenen Compose-Datei auf einem Cloud-Host bereitgestellt wird, entspricht genau der Art von Deployment, bei dem ein Favicon-Scan anschlagen würde, und die älteren Builds von vor der Umbenennung, die der Bericht als Mehrheit zählt, dürften durchaus permissiver gewesen sein als jede der beiden aktuellen Standardeinstellungen. Es bedeutet aber, dass die praktische Frage für einen Betreiber lautet, welchen dieser beiden Wege er genutzt hat, und nicht, ob OpenClaw von Natur aus öffentlich erreichbar ist.

Drei CVEs, ein Patch-Release und ein Score, der davon abhängt, wer zählt

Die drei Schwachstellen, die STRIKE anführt, wurden alle in Version 2026.1.29 behoben, deren GitHub-Release mit Zeitstempel 05:26 UTC am 30. Januar 2026 versehen ist. CVE-2026-25253 ist die One-Click-RCE über einen gatewayUrl-Parameter, im NVD-Eintrag mit 8.8 bewertet – eine Bewertung, die von MITRE stammt. CVE-2026-24763 ist die Docker-Sandbox-Escape über PATH-Manipulation, ebenfalls 8.8, bewertet durch GitHubs Advisory. CVE-2026-25157 ist die SSH-Befehlsinjektion in der macOS-App.

Beim dritten Score gehen die kursierenden Zahlen auseinander. Der Beitrag von SecurityScorecard und der Bericht von Cyber Security News geben ihn beide mit 7,8 an. Mit Stand vom 5. November 2026 enthält der NVD-Eintrag 7,7 aus dem GitHub-Advisory, das als CNA für das Problem dient, und 7,5 von NIST als primärem Bewerter. Die Scores liegen nahe beieinander, aber es ist nicht dieselbe Zahl, und die 7,8, die in der Branchenberichterstattung kursiert, ist in keinem der beiden aktuellen NVD-Einträge zu finden.

Eine Eigenschaft von CVE-2026-25253 verdient einen eigenen Satz, weil sie die Mitigationsempfehlung ändert: SecurityScorecard merkt an, dass die Token-Diebstahl-Kette „selbst dann funktioniert, wenn die Instanz an localhost gebunden ist“. Das Binden an 127.0.0.1 schließt den Direktzugriffsweg, den der Scan gemessen hat. Diesen einen schließt es nicht.

Das Fix-Release war nicht nur eine Sammlung von CVE-Patches. In seinen Versionshinweisen ist eine Breaking Change dokumentiert: Der Gateway-Authentifizierungsmodus „none“ wurde entfernt, und das Gateway erfordert jetzt ein Token oder Passwort – zusammen mit einer Doctor-Warnung, wenn das Gateway ohne Authentifizierung exponiert ist. Ein Build, der alt genug ist, sich noch Clawdbot oder Moltbot zu nennen, stammt aus der Zeit vor all dem.

78 % ist eine Markenbezeichnung, kein Versionsstring.

Die Behauptung des Berichts, die CVEs seien weitgehend ungepatcht, stützt sich auf einen Proxy. STRIKE teilte die 23.505 aktiven Panels nach dem Titel auf, den sie auslieferten: Clawdbot Control 9.280 (39,5 %), Moltbot Control 9.048 (38,5 %) und OpenClaw Control 5.177 (22,0 %). Daraus schließt der Bericht, dass 78 % der exponierten Instanzen „ältere Versionen mit Namen ausgeführt haben, die vor kritischen Sicherheitspatches datieren“, und fügt im nächsten Satz das Wort „suggests“ hinzu.

Es ist eine begründete Schlussfolgerung, und es bleibt eine Schlussfolgerung. Der Panel-Titel ist eine Zeichenkette, die der Build über sich selbst schreibt, und der Bericht veröffentlicht kein Versionshistogramm. Eine Bereitstellung kann den aktuellen Titel ausliefern und dennoch Monate hinterherhinken, was der Bericht selbst einräumt, wenn er sagt, die 22 % beim OpenClaw-Branding „könnten noch veraltete Builds sein“. Die Richtung des Befunds, dass die meisten exponierten Bereitstellungen alt sind, wird eher durch die Gestalt des Ökosystems als durch eine Erhebung auf Patch-Ebene gestützt.

Die Threat-Actor-Linie und der daran geknüpfte Vorbehalt

Dies ist der Teil der Aufzeichnung, der am ehesten aus dem Zusammenhang gerissen zitiert wird, daher lohnt es sich, genau darzulegen, was die Primärquelle sagt. STRIKE schreibt, dass einige Instanz-IPs mit Infrastruktur korrelieren, die zuvor namentlich genannten Gruppen zugeschrieben wurde, und nennt Kimsuky, APT28, Salt Typhoon, Sandworm und APT41. Anschließend definiert es, was das bedeutet: Die IP-Adresse oder ihre Hosting-Infrastruktur wurde zuvor im Zusammenhang mit den Operationen dieser Gruppe beobachtet; eine Instanz, die „mit Kimsuky verknüpft“ ist, ist also eine, deren Hosting in Threat-Intelligence-Feeds markiert wurde. Und es fügt den Satz hinzu, den die Zusammenfassungen weglassen: „Dies ist ein nachrichtendienstliches Signal, kein Beweis für eine direkte Operation.“

Der Prozentsatz ist eine separate Messgröße mit einem separaten Nenner. SecurityScorecard sagt, dass etwa 33,8 % der angereicherten Instanzen eine Leck-Korrelation aufweisen, was das Unternehmen so definiert, dass die Hosting-Organisation in früheren Datenschutzverletzungs-Datensätzen aufgetaucht ist. Das ist eine Aussage über die Sicherheitshistorie des Hosts, nicht darüber, dass eine APT das Panel betreibt. Der Bericht von Cyber Security News gibt es als „etwa 33,8 % der exponierten Infrastruktur korrelieren mit Aktivitäten bekannter Bedrohungsakteure“ wieder, und die Zusammenfassung des Archivs enthält eine Version dieser Darstellung. Im Abgleich mit der Primärquelle sind die 33,8 % eine Leck-Korrelation innerhalb einer angereicherten Teilmenge, und die Bedrohungsakteur-Korrelation ist eine unbenannte, kleinere Größe, die der Anbieter ausdrücklich nicht als Beweis behandeln will.

Was wurde tatsächlich geschädigt?

Das Archiv bewertet diesen Datensatz als Vorfall mit realem Schaden, hoher Schwere und Konfidenz A. Was die zitierten Quellen dokumentieren, ist Exponierung statt einer Opferzahl: aus dem offenen Internet erreichbare Live-Agents, Anmeldedaten hinter einem unauthentifizierten Panel und ein großer Anteil von Hosts, deren Betreiber bereits in Breach-Daten aufgetaucht sind. Weder SecurityScorecard noch Infosecurity Magazine nennen ein Opfer, ein Lösegeld, einen entwendeten Datensatz oder auch nur eine einzige bestätigte Übernahme, die sich auf ein exponiertes Panel zurückführen lässt. Der erfasste Schaden ist die fortbestehende Gelegenheit, im großen Maßstab gemessen, plus die eigene Korrelation des Anbieters, dass ein Drittel der angereicherten Hosts bereits anderswo kompromittiert war.

Diese Unterscheidung sollte beim Lesen erhalten bleiben. Ein Expositionsbefund dieser Größenordnung ist kein Beleg dafür, dass die Expositionen genutzt wurden, und die hier herangezogenen Quellen behaupten nicht, dass dem so sei.

Was die Forscher den Betreibern zu tun sagten

Die Remediierungsliste von SecurityScorecard ist konkret und dreht sich größtenteils darum, die Standardeinstellungen rückgängig zu machen: auf v2026.2.1 oder neuer patchen, also neuer als die Version, die die drei CVEs behoben hat; gateway.bind auf „127.0.0.1“ setzen; das Panel über Tailscale, WireGuard, Cloudflare Tunnel oder ngrok statt über einen offenen Port erreichen; jeden im Agenten gespeicherten Token und API-Schlüssel rotieren und sie als bereits kompromittiert behandeln; openclaw security audit deep ausführen; das Framework niemals als root ausführen; und für Sicherheitsteams: Port 18789 am Perimeter blockieren und auf Command-and-Control-förmigen ausgehenden Datenverkehr von internen Workstations achten.

Zwei davon verdienen besondere Betonung, weil sie leicht übersehen werden. Die Rotation der Zugangsdaten ist nicht an einen Nachweis einer Kompromittierung geknüpft, denn das Panel, das die Schlüssel offengelegt hätte, ist dasselbe Panel, das sie authentifiziert. Und der Mindest-Patchstand ist nicht 2026.1.29, obwohl die drei CVEs dort behoben wurden, denn STRIKEs eigene Empfehlung lautet 2026.2.1 oder später.

Die Forscher haben außerdem ihren Zähler veröffentlicht. Das declawed-Dashboard unter declawed.io zeigt die Expositionszahlen, den CVE-Status pro Instanz und die Korrelation mit Sicherheitsvorfällen, alle 15 Minuten aktualisiert – die einzige Möglichkeit, Zahlen, die sich so schnell bewegten, als Trend statt als Schlagzeile zu lesen.

Festgestellt, gemeldet, ungelöst

Die Punkte, die quellenübergreifend Bestand haben: {{1}}OpenClaws Gateway hält die Zugangsdaten, mit denen sein Agent agiert{{/1}}; {{2}}Die docker-compose-Datei des Projekts veröffentlicht in v2026.1.29 Port 18789 auf allen Host-Schnittstellen und übergibt standardmäßig eine LAN-Bindung{{/2}}; {{3}}drei namentlich genannte CVEs wurden in v2026.1.29 behoben, das am 30. Januar 2026 veröffentlicht wurde{{/3}}; und {{4}}ein großer internetweiter Scan fand Zehntausende exponierte Panels, eine Zahl, die sowohl SecurityScorecard als auch Infosecurity Magazine in einer bestimmten Einheit mit 40.000 oder mehr angeben{{/4}}.

Die anbieterberichteten und nicht unabhängig reproduzierten Teile sind: die Zahlen 42,9K und 15,2K, die Verbreitung über 82 Länder, der 53,3K-Wert zur Korrelation von Sicherheitsvorfällen, die angereicherte Breach-Rate von 33,8 % und die 78-%-Inferenz vor dem Patch. Die abweichenden Zahlen von Infosecurity Magazine sind eine zweite Auswertung derselben Studie, keine unabhängige Messung, und keine dritte Partei hat den Scan erneut ausgeführt.

Offen bleiben die folgenden Punkte: welchen Nenner jede veröffentlichte Zählung verwendet hat, warum die Gesamtzahl der Breach-Korrelationen die IP-Gesamtzahl in der eigenen Zusammenfassung des Anbieters übersteigt, ob die mit APT korrelierten Adressen Betreiber widerspiegeln, die OpenClaw verwenden, oder Infrastruktur, die zufällig OpenClaw hostet, und ob irgendein exponiertes Panel tatsächlich übernommen wurde. Die für diesen Beitrag gelesenen Quellen beantworten keinen dieser Punkte, und der Bericht erhebt nicht den Anspruch, dass sie es tun.