Paneles de control expuestos de OpenClaw: 15.200 hosts marcados por ejecución remota de código

El equipo de inteligencia de amenazas STRIKE de SecurityScorecard pasó un día escaneando la internet pública en busca de paneles de control de OpenClaw a principios de febrero de 2026 e informó el 9 de febrero de 2026 que había encontrado 42.900 direcciones IP únicas que respondían en 82 países, de las cuales 15.200 parecían vulnerables a la ejecución remota de código. Cyber Security News publicó los hallazgos el 10 de febrero de 2026, la fecha que figura en el registro. Los paneles son la consola de puerta de enlace de un agente de IA autoalojado que se ejecuta con el acceso a archivos de su propietario, por lo que la misma investigación señala que una instancia comprometida entrega claves SSH, credenciales de la nube y sesiones de navegador activas. No aparece ninguna víctima identificada ni ninguna toma de control masiva confirmada en las fuentes consultadas para este artículo. El registro completo, con sus calificaciones de gravedad y confianza, se encuentra en el Orca AI Incident Archive, junto a las otras entradas de OpenClaw del mismo mes.

Lo que hace que la cifra merezca una lectura cuidadosa es que no es la cifra del titular. La cifra de 15.200 es el subconjunto que STRIKE consideró explotable, no la población que encontró expuesta. El mismo equipo situó el total en 42.900 direcciones IP únicas, y su propio panel en vivo, declawed.io, seguía contando.

Lo que contó el escaneo y por qué sus cifras no coinciden

El método de STRIKE consistió en la huella digital, no en intentos de inicio de sesión. El equipo cotejó los archivos favicon que OpenClaw sirve en sus tres eras de marca, cruzó los nombres comunes de los certificados TLS, el DNS inverso y los registros de transparencia de certificados, y sumó los datos propios de brechas y actores de amenaza de SecurityScorecard. Su progresión publicada es una medida útil de la velocidad con que evolucionó el panorama: una búsqueda basada en títulos encontró 24.034 instancias, la huella digital de favicon confirmó 40.214, y 23.505 de ellas mostraban una interfaz de panel de control activa (SecurityScorecard, 9 de febrero de 2026).

Las cifras destacadas son las que ofrece el resumen ejecutivo del informe: 42,9K direcciones IP únicas en 82 países, 15,2K instancias marcadas como vulnerables a RCE, que el informe expresa como el 35,4% de las implementaciones observadas, más de 24K instancias asociadas con CVE conocidos y 53,3K instancias que, según se afirma, se correlacionan con actividad de brechas previa. Esa última cifra es mayor que el total de 42,9K dentro del cual se supone que está incluida, y SecurityScorecard no explica la discrepancia en la publicación. El informe también indica que las cifras se actualizan cada 15 minutos, lo que significa que cualquier instantánea individual es un objetivo móvil.

Una segunda lectura independiente de la misma investigación apareció el mismo día y no coincide. Infosecurity Magazine informó de 40.214 instancias expuestas asociadas a 28.663 direcciones IP únicas, 12.812 explotables mediante RCE, lo que situó en el 63% de las implementaciones observadas, 549 instancias correlacionadas con actividad de brechas previa y 1.493 con vulnerabilidades conocidas (Phil Muncaster, 9 de febrero de 2026). Los dos relatos discrepan en un factor de casi cien en la correlación con brechas, y sus estimaciones de cuántos hosts son realmente explotables difieren en casi el doble. No pueden estar describiendo la misma población con el mismo denominador, y ninguna de las fuentes indica qué denominador utilizó. La propia cifra del archivo, 15.200, procede del primero de estos relatos.

El panel de control de un agente no es una página web.

La razón por la que un puerto mal vinculado importa aquí es lo que hay detrás de él. Una puerta de enlace de OpenClaw contiene las credenciales que el agente usa para actuar: el directorio de credenciales en ~/.openclaw/credentials, las claves SSH en ~/.ssh, los perfiles de navegador con sesiones activas y las cuentas de mensajería a través de las cuales se comunica el agente. La lista de SecurityScorecard continúa con trabajos cron y ganchos de latido que un atacante podría usar para persistencia, y con lo que denomina el contexto de memoria del agente, todo lo que el agente sabe sobre su propietario.

Esa herencia es el hallazgo real, y el informe lo afirma sin adornos: "La IA agéntica no crea nuevas clases de vulnerabilidad. Hereda las antiguas y amplifica su impacto". El agente no es la vulnerabilidad. Es el privilegio que ahora conlleva un panel de administración expuesto corriente.

La afirmación de la vinculación por defecto, y en qué es más estrecha de lo que parece

La afirmación causal de SecurityScorecard es contundente: «De fábrica, OpenClaw se vincula a 0.0.0.0:18789, lo que significa que escucha en todas las interfaces de red, incluida la internet pública. Para una herramienta tan potente, el valor predeterminado debería ser 127.0.0.1 (solo localhost). No lo es».

Eso es cierto para una ruta de despliegue y no para otra, y la diferencia es importante para cualquiera que esté decidiendo si se ve afectado. En el propio docker-compose.yml del proyecto, en la etiqueta v2026.1.29, el contenedor de la puerta de enlace se inicia con la opción --bind ${OPENCLAW_GATEWAY_BIND:-lan}, que toma por defecto la dirección de la LAN, y el mismo archivo publica el puerto 18789 en el host sin prefijo de dirección, lo que lo vincula a todas las interfaces del host. La puerta de enlace nativa de línea de comandos es diferente: en src/cli/gateway-cli/run.ts, en la misma etiqueta, el valor de bind recurre a "loopback" cuando no hay ni una opción ni un ajuste de configuración, y el proceso se niega a iniciarse en una dirección que no sea loopback sin un secreto compartido. Una revisión de código de la comunidad publicada en el repositorio explain-openclaw hace la misma distinción, y sostiene que la expresión «out of the box» confunde el valor predeterminado de Compose con el valor predeterminado de la CLI nativa.

Esto no reduce la exposición que encontró el escaneo. Un contenedor desplegado desde el propio archivo compose del proyecto en un host en la nube es exactamente la forma de despliegue que un escaneo de favicon detectaría, y es muy posible que las compilaciones antiguas anteriores al cambio de nombre que el informe cuenta como mayoría hayan sido más permisivas que cualquiera de los dos valores predeterminados actuales. Lo que sí significa es que la pregunta práctica para un operador es cuál de esos dos caminos usó, no si OpenClaw está inherentemente expuesto al público.

Tres CVE, una versión de parche y una puntuación que depende de quién la cuente

Las tres vulnerabilidades que cita STRIKE se corrigieron en la versión 2026.1.29, cuyo lanzamiento en GitHub tiene marca temporal de las 05:26 UTC del 30 de enero de 2026. CVE-2026-25253 es el RCE de un clic mediante el parámetro gatewayUrl, con una puntuación de 8.8 en el registro de NVD, una puntuación suministrada por MITRE. CVE-2026-24763 es el escape del sandbox de Docker mediante manipulación de PATH, también de 8.8, puntuado por el aviso de GitHub. CVE-2026-25157 es la inyección de comandos SSH en la app de macOS.

La tercera puntuación es donde los números que circulan se separan. La publicación de SecurityScorecard y el informe de Cyber Security News coinciden en darle 7.8. Consultado el 5 de noviembre de 2026, el registro de NVD contiene 7.7 del aviso de GitHub que actúa como CNA para el problema, y 7.5 de NIST como evaluador principal. Las puntuaciones son cercanas, pero no son el mismo número, y el 7.8 que acompaña a la cobertura especializada no es el que aparece en ninguna de las entradas actuales de NVD.

Una propiedad de CVE-2026-25253 merece su propia frase, porque cambia el consejo de mitigación: SecurityScorecard señala que la cadena de robo de tokens funciona "incluso si la instancia está vinculada a localhost". Vincular a 127.0.0.1 cierra la ruta de acceso directo que midió el escaneo. No cierra esa.

La versión de corrección no fue solo un conjunto de parches de CVE. Sus notas documentan un cambio incompatible: se elimina el modo de autenticación de la puerta de enlace «none» y ahora la puerta de enlace requiere un token o una contraseña, junto con una advertencia del doctor cuando la puerta de enlace queda expuesta sin autenticación. Una compilación lo bastante antigua como para seguir llamándose Clawdbot o Moltbot es anterior a todo eso.

78% es una etiqueta de marca, no una cadena de versión.

La afirmación del registro de que los CVE están ampliamente sin parchear se basa en un indicador indirecto. STRIKE dividió los 23.505 paneles activos según el título que servían: Clawdbot Control 9.280 (39,5 %), Moltbot Control 9.048 (38,5 %) y OpenClaw Control 5.177 (22,0 %). De ahí el informe concluye que el 78 % de las instancias expuestas «han ejecutado versiones anteriores con nombres que preceden a parches de seguridad críticos», y añade la palabra «sugiere» en la frase siguiente.

Es una inferencia razonable y sigue siendo una inferencia. El título del panel es una cadena que la compilación escribe sobre sí misma, y el informe no publica un histograma de versiones. Un despliegue puede mostrar el título actual y aun así estar meses atrasado, algo que el propio informe admite cuando dice que el 22% con la marca OpenClaw «podría seguir siendo compilaciones desactualizadas». La dirección del hallazgo, que la mayoría de los despliegues expuestos son antiguos, se corrobora por la forma del ecosistema más que por un censo a nivel de parche.

La línea del actor de amenaza y la salvedad que la acompaña.

Esta es la parte del registro con más probabilidades de ser citada fuera de contexto, por lo que vale la pena exponer exactamente lo que dice la fuente primaria. STRIKE escribe que algunas IP de instancia se correlacionan con infraestructura atribuida anteriormente a grupos nombrados, y enumera a Kimsuky, APT28, Salt Typhoon, Sandworm y APT41. Luego define qué significa eso: la dirección IP o su infraestructura de alojamiento se observó anteriormente en relación con las operaciones de ese grupo, de modo que una instancia "vinculada a Kimsuky" es aquella cuyo alojamiento se ha marcado en fuentes de inteligencia sobre amenazas. Y añade la frase que los resúmenes omiten: "Esta es una señal de inteligencia, no una prueba de operación directa."

El porcentaje es una medición separada con un denominador separado. SecurityScorecard afirma que aproximadamente el 33,8 % de las instancias enriquecidas muestran correlación con brechas, que define como que la organización de alojamiento haya aparecido en registros previos de brechas de datos. Eso es una afirmación sobre el historial de seguridad del host, no sobre un APT que opera el panel. El informe de Cyber Security News lo presenta como «aproximadamente el 33,8 % de la infraestructura expuesta se correlaciona con actividad conocida de actores de amenazas», y el resumen del archivo recoge una versión de ese enfoque. Leído frente a la fuente primaria, el 33,8 % es correlación con brechas dentro de un subconjunto enriquecido, y la correlación con actores de amenazas es una cantidad menor y sin nombre que el proveedor se niega explícitamente a tratar como prueba.

¿Qué se dañó realmente?

El archivo califica este registro como un incidente con daño real, gravedad alta y confianza A. Lo que documentan las fuentes citadas es exposición, no un recuento de víctimas: agentes activos accesibles desde la internet abierta, credenciales que están detrás de un panel no autenticado y una gran proporción de hosts cuyos operadores ya han aparecido en datos de brechas. Ni SecurityScorecard ni Infosecurity Magazine nombran a una víctima, un rescate, un conjunto de datos sustraído ni una sola toma de control confirmada atribuida a un panel expuesto. El daño registrado es la oportunidad permanente, medida a escala, más la correlación propia del proveedor de que un tercio de los hosts enriquecidos ya estaban comprometidos en otro lugar.

Esa distinción debería mantenerse al leerlo. Un hallazgo de exposición de este tamaño no es prueba de que las exposiciones se hayan utilizado, y las fuentes consultadas aquí no afirman que se utilizaran.

Lo que los investigadores dijeron a los operadores que hicieran

La lista de remediación de SecurityScorecard es específica y se centra principalmente en deshacer la configuración predeterminada: actualizar a v2026.2.1 o posterior, que es posterior a la versión que corrigió las tres CVE; establecer gateway.bind en "127.0.0.1"; acceder al panel mediante Tailscale, WireGuard, Cloudflare Tunnel o ngrok en lugar de un puerto abierto; rotar cada token y clave de API almacenados en el agente, tratándolos como ya comprometidos; ejecutar openclaw security audit deep; nunca ejecutar el framework como root; y, para los equipos de seguridad, bloquear el puerto 18789 en el perímetro y vigilar el tráfico saliente con patrón de comando y control procedente de estaciones de trabajo internas.

Dos de esos merecen énfasis porque son fáciles de pasar por alto. La rotación de credenciales no está condicionada a que haya indicios de compromiso, porque el panel que habría expuesto las claves es el mismo panel que las autentica. Y el nivel mínimo de parches no es 2026.1.29, aunque ahí es donde se corrigieron las tres CVE, porque la propia recomendación de STRIKE es 2026.2.1 o posterior.

Los investigadores también publicaron su contador. El panel declawed en declawed.io presenta los recuentos de exposición, el estado de las CVE por instancia y la correlación de brechas, actualizado cada 15 minutos, que es la única manera de leer como tendencia, y no como titular, unas cifras que se movían tan rápido.

Establecido, reportado, sin resolver

Los puntos que se sostienen en todas las fuentes: el gateway de OpenClaw guarda las credenciales con las que actúa su agente; el archivo docker-compose del proyecto en v2026.1.29 publica el puerto 18789 en todas las interfaces del host y aplica por defecto una vinculación a la LAN; tres CVE con nombre se corrigieron en v2026.1.29, publicada el 30 de enero de 2026; y un gran escaneo a escala de internet encontró decenas de miles de paneles expuestos, una cifra que tanto SecurityScorecard como Infosecurity Magazine sitúan en 40.000 o más en alguna unidad.

Las partes que son reportadas por el proveedor y no se han reproducido de forma independiente: los recuentos de 42,9K y 15,2K, la distribución en 82 países, la cifra de correlación de brechas de 53,3K, la tasa de brechas enriquecidas del 33,8 % y la inferencia previa al parche del 78 %. El conjunto diferente de cifras de Infosecurity Magazine es una segunda lectura de la misma investigación, no una medición independiente, y ningún tercero ha vuelto a ejecutar el escaneo.

Las partes que quedan abiertas: qué denominador utilizó cada recuento publicado, por qué el total de correlación de brechas supera el total de IP en el propio resumen del proveedor, si las direcciones correlacionadas con APT reflejan operadores que usan OpenClaw o infraestructura que casualmente lo aloja, y si realmente se tomó el control de algún panel expuesto. Las fuentes consultadas para este artículo no responden a ninguna de esas cuestiones, y el registro no afirma que lo hagan.