לוחות הבקרה החשופים של OpenClaw: 15,200 מארחים סומנו בשל הרצת קוד מרחוק

צוות מודיעין האיומים STRIKE של SecurityScorecard בילה יום בסריקת האינטרנט הציבורי אחר לוחות הבקרה של OpenClaw בתחילת פברואר 2026, ודיווח ב-9 בפברואר שמצא 42,900 כתובות IP ייחודיות שמגיבות ב-82 מדינות, מהן 15,200 נראו פגיעות להרצת קוד מרחוק. Cyber Security News פרסם את הממצאים ב-10 בפברואר 2026, התאריך הנקוב ברשומה. הלוחות הם קונסולת השער של סוכן AI באחסון עצמי שפועל עם הרשאת הגישה לקבצים של בעליו, כך שלפי אותו מחקר מופע שנפרץ מוסר מפתחות SSH, אישורי ענן וסשנים פעילים של דפדפן. לא מופיע קורבן בשם, ולא מופיעה השתלטות המונית מאושרת, במקורות שנקראו עבור כתבה זו. הרשומה המלאה, עם דירוגי החומרה והביטחון שלה, נמצאת בOrca AI Incident Archive, לצד שאר הערכים של OpenClaw מאותו חודש.

מה שהופך את המספר לראוי לקריאה מדוקדקת הוא שהוא אינו המספר שבכותרת. הנתון 15,200 הוא תת-הקבוצה ש-STRIKE שפטה כניתנת לניצול, לא האוכלוסייה שהיא מצאה חשופה. אותו צוות העמיד את הסך הכולל על 42,900 כתובות IP ייחודיות, ולוח המחוונים החי שלו, declawed.io, עדיין ספר.

מה שהסריקה ספרה, ולמה המספרים שלה אינם תואמים

שיטתה של STRIKE הייתה טביעת אצבעות ולא ניסיונות התחברות. הצוות התאים את קבצי ה-favicon ש-OpenClaw מגיש בשלוש תקופות המיתוג שלו, הצליב שמות נפוצים של תעודות TLS, DNS הפוך ויומני שקיפות תעודות, ושילב נתוני פרצות ונתוני שחקני איום של SecurityScorecard עצמה. ההתקדמות שפרסמה היא מדד שימושי לקצב שבו התמונה השתנתה: חיפוש מבוסס כותרת מצא 24,034 מופעים, טביעת אצבעות favicon אישרה 40,214, ו-23,505 מהם הראו ממשק לוח בקרה פעיל (SecurityScorecard, 9 בפברואר 2026).

מספרי הכותרת הם אלה שתקציר ההנהלה של הדוח נותן: 42.9K כתובות IP ייחודיות ב-82 מדינות, 15.2K מופעים שסומנו כפגיעים ל-RCE, שהדוח מציג כ-35.4% מהפריסות שנצפו, 24K+ מופעים המשויכים ל-CVE ידועים, ו-53.3K מופעים שלגביהם נטען שהם נמצאים במתאם עם פעילות חדירה קודמת. הנתון האחרון גדול מהסכום הכולל של 42.9K שהוא אמור להיות חלק ממנו, ו-SecurityScorecard לא מסבירה את הסתירה בפוסט. הדוח גם אומר שהספירות מתרעננות כל 15 דקות, מה שאומר שכל תמונת מצב בודדת היא מטרה נעה.

פרשנות שנייה ובלתי תלויה של אותו מחקר פורסמה באותו יום ואינה תואמת. Infosecurity Magazine דיווחה על 40,214 מופעים חשופים המשויכים ל-28,663 כתובות IP ייחודיות, 12,812 ניתנים לניצול באמצעות RCE, שאותם הציגה כ-63% מהפריסות שנצפו, 549 מופעים שנמצאו בקורלציה עם פעילות פריצה קודמת, ו-1,493 עם פגיעויות ידועות (פיל מונקסטר, 9 בפברואר 2026). שני התיאורים חלוקים בפער של כמעט פי מאה בכל הנוגע לקורלציה עם פריצות, והערכותיהם לגבי מספר המארחים שניתנים לניצול בפועל נבדלות בכמעט פי שניים. לא ייתכן ששניהם מתארים את אותה אוכלוסייה עם אותו מכנה, ואף אחד מהמקורות אינו מציין באיזה מכנה השתמש. הנתון של הארכיון עצמו, 15,200, מגיע מהתיאור הראשון מבין השניים.

לוח הבקרה של סוכן אינו דף אינטרנט

הסיבה שפורט שממופה באופן שגוי חשוב כאן היא מה שנמצא מאחוריו. שער OpenClaw מחזיק את פרטי הכניסה שבהם הסוכן משתמש כדי לפעול: ספריית פרטי הכניסה ב־~/.openclaw/credentials, מפתחות SSH ב־~/.ssh, פרופילי דפדפן עם סשנים פעילים, וחשבונות ההודעות שדרכם הסוכן מדבר. הרשימה של SecurityScorecard ממשיכה לעבודות cron ולקרסי heartbeat שתוקף יכול להשתמש בהם להתמדה, ולמה שהיא מכנה הקשר הזיכרון של הסוכן, כל מה שהסוכן יודע על בעליו.

הירושה הזו היא הממצא עצמו, והדוח מציג אותו בלי קישוט: "בינה מלאכותית סוכנית אינה יוצרת מחלקות חדשות של פגיעות. היא יורשת פגיעויות ישנות ומגבירה את השפעתן." הסוכן אינו הפגיעות. הוא הפריבילגיה שפאנל ניהול חשוף שגרתי נושא כעת.

טענת הכריכה כברירת המחדל, והיכן שהיא צרה יותר ממה שהיא נשמעת

הטענה הסיבתית של SecurityScorecard היא בוטה: "כברירת מחדל, OpenClaw נקשר ל-0.0.0.0:18789, כלומר הוא מאזין בכל ממשקי הרשת, כולל האינטרנט הציבורי. עבור כלי כה עוצמתי, ברירת המחדל אמורה להיות 127.0.0.1 (localhost בלבד). אבל היא לא."

זה נכון לגבי נתיב פריסה אחד ולא לגבי אחר, וההבדל חשוב לכל מי שמנסה לקבוע אם הוא מושפע. בקובץ docker-compose.yml של הפרויקט בתג v2026.1.29, קונטיינר ה-gateway מופעל עם הדגל --bind ${OPENCLAW_GATEWAY_BIND:-lan}, שברירת המחדל שלו היא כתובת ה-LAN, ואותו קובץ מפרסם את פורט 18789 במארח ללא קידומת כתובת, מה שקושר אותו לכל ממשקי המארח. ה-gateway המקורי משורת הפקודה שונה: ב-src/cli/gateway-cli/run.ts באותו תג, ערך ה-bind נופל חזרה ל-"loopback" כאשר לא קיים לא דגל ולא הגדרה בקונפיגורציה, והתהליך מסרב לעלות על כתובת שאינה loopback ללא סוד משותף. סקירת קוד קהילתית שפורסמה במאגר explain-openclaw עושה את אותו הבחן, בטענה שהניסוח "out of the box" מערבב בין ברירת המחדל של compose לבין ברירת המחדל של ה-CLI המקורי.

זה לא מקטין את החשיפה שמצאה הסריקה. קונטיינר שנפרס מקובץ ה-compose של הפרויקט עצמו אל מארח בענן הוא בדיוק צורת הפריסה שסריקת favicon הייתה מזהה, והבניות הישנות מלפני שינוי השם שהדוח סופר כרוב אולי היו מתירניות יותר משתי ברירות המחדל הנוכחיות. זה כן אומר שהשאלה המעשית עבור מפעיל היא באיזה משני הנתיבים האלה הוא השתמש, ולא אם OpenClaw הוא מטבעו חשוף לאינטרנט.

שלושה CVE, מהדורת תיקון אחת, וציון שתלוי במי שסופר

שלוש הפגיעויות ש-STRIKE מציין תוקנו כולן בגרסה 2026.1.29, ששחרור ה-GitHub שלה נושא חותמת זמן של 05:26 UTC ב-30 בינואר 2026. CVE-2026-25253 היא פגיעות RCE בלחיצה אחת דרך פרמטר gatewayUrl, עם ציון 8.8 ברשומה של NVD, ציון שסיפקה MITRE. CVE-2026-24763 היא בריחת ארגז חול Docker באמצעות מניפולציה של PATH, גם 8.8, לפי הציון של ייעוץ GitHub. CVE-2026-25157 היא הזרקת פקודות SSH באפליקציית macOS.

הציון השלישי הוא המקום שבו המספרים המסתובבים נפרדים לדרכים שונות. הפוסט של SecurityScorecard והדוח של Cyber Security News נותנים שניהם 7.8. נכון ל-5 בנובמבר 2026, הרשומה של NVD נושאת 7.7 מהייעוץ של GitHub שמשמש כ-CNA עבור הבעיה, ו-7.5 מ-NIST כמדרג הראשי. הציונים קרובים, אך הם אינם אותו מספר, וה-7.8 שמלווה את סיקור התעשייה אינו זה שבאף אחת מהרשומות הנוכחיות של NVD.

תכונה אחת של CVE-2026-25253 ראויה למשפט משלה, משום שהיא משנה את המלצות ההקלה: SecurityScorecard מציינת ששרשרת גניבת האסימון פועלת "גם אם המופע כבול ל-localhost". כריכה ל-127.0.0.1 סוגרת את נתיב הגישה הישירה שנמדד בסריקה. היא אינה סוגרת אותו.

גרסת התיקון לא הייתה רק סט של טלאי CVE. בהערות שלה נרשם שינוי שובר תאימות: מצב האימות של השער "none" הוסר, והשער כעת דורש אסימון או סיסמה, יחד עם אזהרת doctor כאשר השער חשוף ללא אימות. בנייה ישנה מספיק כדי שעדיין תקרא לעצמה Clawdbot או Moltbot קודמת לכל האמור.

78% הוא תווית מיתוג, לא מחרוזת גרסה

הטענה של הדוח כי ה-CVE-ים נותרו ללא תיקון באופן נרחב נשענת על מדד עקיף. STRIKE חילקה את 23,505 הפאנלים הפעילים לפי הכותרת שהם הציגו: Clawdbot Control 9,280 (39.5%), Moltbot Control 9,048 (38.5%), ו-OpenClaw Control 5,177 (22.0%). מכך מסיק הדוח כי 78% מהמופעים החשופים "הריצו גרסאות ישנות יותר עם שמות שקדמו לתיקוני אבטחה קריטיים", ומוסיף את המילה "מרמז" במשפט הבא.

זו הסקה סבירה, והיא עדיין בגדר הסקה. כותרת הפאנל היא מחרוזת שהבנייה כותבת על עצמה, והדוח אינו מפרסם היסטוגרמת גרסאות. פריסה יכולה להציג את הכותרת הנוכחית ועדיין לפגר בחודשים, והדוח עצמו מודה בכך כשהוא אומר ש-22% עם המיתוג של OpenClaw "עשויים עדיין להיות בנייות מיושנות". כיוון הממצא — שרוב הפריסות החשופות הן ישנות — נתמך על ידי צורת המערכת האקולוגית ולא על ידי מפקד ברמת טלאים.

הקו של שחקן האיום, וההסתייגות הנלווית לו

זהו החלק מהרשומה שסביר ביותר שיצוטט מחוץ להקשר, ולכן כדאי להציג במדויק מה אומר המקור הראשוני. STRIKE כותב שכמה כתובות IP של מופעים נמצאות במתאם עם תשתית שיוחסה בעבר לקבוצות בעלות שם, ומפרט את Kimsuky, APT28, Salt Typhoon, Sandworm ו-APT41. לאחר מכן הוא מגדיר מה המשמעות של זה: כתובת ה-IP או תשתית האחסון שלה נצפו בעבר בקשר לפעילות של אותה קבוצה, כך שמופע "המקושר ל-Kimsuky" הוא מופע שתשתית האחסון שלו סומנה בפידים של מודיעין איומים. והוא מוסיף את המשפט שהתקצירים משמיטים: "זהו אות מודיעיני, לא הוכחה לפעולה ישירה."

האחוז הוא מדידה נפרדת עם מכנה נפרד. SecurityScorecard אומרת שכ-33.8% מהמופעים המועשרים מראים מתאם לפרצות, שאותו היא מגדירה כמצב שבו הארגון המארח הופיע ברשומות קודמות של פרצות נתונים. זו הצהרה על ההיסטוריה האבטחתית של המארח, לא על APT שמפעיל את הפאנל. הדוח של Cyber Security News מציג זאת כ"כ-33.8% מהתשתית החשופה נמצאים במתאם עם פעילות ידועה של שחקן איום", והסיכום של הארכיון כולל גרסה של אותה מסגור. בקריאה מול המקור הראשוני, ה-33.8% הוא מתאם לפרצות בקרב תת-קבוצה מועשרת, ומתאם שחקן האיום הוא כמות קטנה יותר שאינה נקראת בשם, שהספק מסרב במפורש להתייחס אליה כהוכחה.

מה בעצם נפגע

הארכיון מדרג את הרשומה הזו כאירוע עם נזק ממשי, חומרה גבוהה ורמת ביטחון A. מה שהמקורות המצוטטים מתעדים הוא חשיפה ולא מניין נפגעים: סוכנים פעילים שנגישים מהאינטרנט הפתוח, פרטי גישה שיושבים מאחורי פאנל ללא אימות, וחלק גדול מהמארחים שמפעיליהם כבר הופיעו בנתוני פרצות. לא SecurityScorecard ולא Infosecurity Magazine נוקבים בקורבן, בכופר, במערך נתונים שנלקח, או בהשתלטות אחת מאומתת שנקשרה לפאנל חשוף. הנזק שנרשם הוא ההזדמנות המתמשכת, שנמדדת בקנה מידה, בתוספת המתאם של הספק עצמו שלפיו שליש מהמארחים המועשרים כבר נפרצו במקום אחר.

הבחנה זו צריכה להישמר בקריאה. ממצא חשיפה בסדר גודל כזה אינו ראיה לכך שנעשה שימוש בחשיפות, והמקורות שנקראו כאן אינם טוענים שכך היה.

מה החוקרים אמרו למפעילים לעשות

רשימת התיקונים של SecurityScorecard ספציפית וברובה עוסקת בביטול ברירת המחדל: לתקן לגרסה v2026.2.1 או מאוחרת יותר, שמאוחרת מהגרסה שתיקנה את שלושת ה-CVEs; להגדיר את gateway.bind ל-"127.0.0.1"; להגיע לפאנל דרך Tailscale, WireGuard, Cloudflare Tunnel או ngrok ולא דרך פורט פתוח; להחליף כל טוקן ומפתח API המאוחסנים בסוכן, תוך התייחסות אליהם כאל כאלה שכבר נחשפו; להריץ openclaw security audit deep; לעולם לא להריץ את המסגרת כ-root; ועבור צוותי אבטחה, לחסום את פורט 18789 בפרימטר ולנטר תעבורה יוצאת בצורת פיקוד ושליטה מתחנות עבודה פנימיות.

שניים מאלה ראויים להדגשה משום שקל לדלג עליהם. החלפת פרטי ההזדהות אינה מותנית בראיות לפגיעה, משום שהפאנל שהיה חושף את המפתחות הוא אותו פאנל שמאמת אותם. ומינימום גרסת הטלאים אינו 2026.1.29 אף ששם תוקנו שלושת ה-CVEs, משום שההמלצה של STRIKE עצמה היא 2026.2.1 ואילך.

החוקרים גם פרסמו את המונה שלהם. לוח המחוונים declawed ב-declawed.io מציג את ספירות החשיפה, מצב CVE לכל מופע ומתאם פרצות, ומתעדכן כל 15 דקות — וזו הדרך היחידה לקרוא נתונים שנעו כל כך מהר כמגמה ולא ככותרת.

מבוסס, מדווח, לא פתור

החלקים שמחזיקים מעמד across sources: ה-gateway של OpenClaw מחזיק את פרטי ההזדהות שאיתם פועל הסוכן שלו; קובץ ה-docker-compose של הפרויקט בגרסה v2026.1.29 מפרסם את פורט 18789 על כל ממשקי המארח ומעביר כברירת מחדל כריכה לרשת LAN; שלושה CVE-ים בשם מפורש תוקנו ב-v2026.1.29, שיצאה ב-30 בינואר 2026; וסריקה רחבת-היקף ברשת האינטרנט מצאה עשרות אלפי פאנלים חשופים, נתון שגם SecurityScorecard וגם Infosecurity Magazine הציבו על 40,000 ומעלה ביחידה כלשהי.

החלקים שמדווחים על ידי הספק ולא שוחזרו באופן עצמאי: המספרים 42.9K ו-15.2K, הפריסה ב-82 מדינות, נתון המתאם לפריצות של 53.3K, שיעור הפריצות המועשר של 33.8%, וההסקה של 78% לפני תיקון. מערך המספרים השונה של Infosecurity Magazine הוא קריאה שנייה של אותו מחקר, לא מדידה עצמאית, ואף צד שלישי לא הריץ מחדש את הסריקה.

החלקים שנותרו פתוחים: איזה מכנה שימש כל ספירה שפורסמה, מדוע סך המתאם עם הפריצות עולה על סך כתובות ה-IP בסיכום של הספק עצמו, האם הכתובות המתואמות עם APT משקפות מפעילים שמשתמשים ב-OpenClaw או תשתית שבמקרה מארחת אותו, והאם פאנל חשוף כלשהו אכן הושתלט עליו. המקורות שנקראו עבור כתבה זו אינם עונים על אף אחד מאלה, והתיעוד אינו טוען שהם עונים.