ClawJacked: כל אתר יכול לבצע מתקפת כוח גס על סוכן OpenClaw מקומי

ClawJacked, פגיעות ש-Oasis Security חשפה ב-26 בפברואר 2026 בסוכן ה-AI בקוד פתוח OpenClaw, אפשרה לכל אתר שמפתח ביקר בו לפתוח חיבור לסוכן שרץ על המכונה של אותו מפתח ולנחש את סיסמתו עד שהסוכן מסר את השליטה. לא נדרשו לחיצה, תוסף או הנחיה. הפרס היה ה-gateway שמתזמר את הסוכן: תוקף שחדר פנימה יכול היה לשוחח עם הסוכן ישירות, להציג את תצורתו, לפרט כל התקן מותאם ולקרוא את היומנים שלו. Oasis, ספקית תוכנה לניהול גישה סוכנית, הדגימה את השרשרת מקצה לקצה במעבדה שלה ודיווחה עליה באופן פרטי, ו-OpenClaw שחררה תיקון בתוך פחות מ-24 שעות. אף מקור המצוטט במאמר זה אינו מתעד שההתקפה שימשה נגד משתמש אמיתי. הארכיון מסווג את הפרשה כתקרית תשתית בדרגת חומרה גבוהה עם תאריך בדיוק יומי של 25 בפברואר 2026 וללא נזק מתועד בעולם האמיתי, לצד שאר רשומות ה-OpenClaw שלו ב-Orca AI Incident Archive.

שלוש ברירות מחדל, שרשרת אחת

OpenClaw הוא סוכן אישי באחסון עצמי שהמשתמשים שלו מפעילים מלוח מחוונים מבוסס אינטרנט או ממסוף, ושמתחבר לאפליקציות הודעות, יומנים וכלי מפתחים ופועל בתוכן. במרכזו נמצא gateway, שרת WebSocket מקומי שאותו מתארת Oasis כ"מוח של הפעולה": הוא מטפל באימות, מאחסן תצורה, מנהל הפעלות צ'אט ומשגר פקודות לצמתים כגון אפליקציה נלווית ל-macOS או iPhone. האימות מתבצע באמצעות אסימון או סיסמה, וה-gateway נקשר ל-localhost כברירת מחדל, מתוך הנחה מפורשת שגישה מקומית מהימנה מעצם טיבה (Oasis Security, 26 בפברואר 2026).

שלוש השלכות של אותה הנחה, כשהן שזורות זו בזו. ראשית, דפדפנים אינם מחילים כללי מקור-צולב על חיבורי WebSocket כפי שהם מחילים אותם על בקשות HTTP רגילות, ולכן JavaScript בכל דף שהמשתמש מבקר בו יכול לפתוח סוקט לפורט המקומי של השער בלי שדבר ייראה על המסך. שנית, מגביל הקצב של השער פטר לחלוטין חיבורי loopback, ולכן ניסיונות סיסמה כושלים מ-127.0.0.1 לא נספרו, לא הוגבלו ולא תועדו. שלישית, השער אישר אוטומטית צימוד התקנים שהגיעו מ-localhost, ולכן סקריפט מאומת יכול היה לרשום את עצמו כהתקן מהימן בלי בקשת האישור שמכשיר מרוחק היה מפעיל.

Oasis מדדה את שיעור הניחושים במעבדה שלה ודיווחה על כך בגילוי: "בבדיקות המעבדה שלנו השגנו קצב מתמשך של מאות ניחושי סיסמאות בשנייה מ-JavaScript בדפדפן בלבד. בקצב הזה, רשימה של סיסמאות נפוצות נגמרת בפחות משנייה, ומילון גדול ייקח רק דקות. לסיסמה שנבחרה על ידי אדם אין סיכוי." BleepingComputer, שסיקר את הגילוי ב-1 במרץ 2026, מתאר את אותם שלושה שלבים ואת אותו סדר.

מה תוקף משיג, ומה Oasis למעשה הציגה

לאחר אימות, הסקריפט החזיק בסשן מפעיל עם הרשאות ברמת מנהל. Oasis מפרטת ארבעה דברים שהוא יכול לעשות אז ישירות: לשלוח הודעות לסוכן ה-AI ולקרוא את תגובותיו, להפיק את תצורת ה-gateway, אשר חושפת את ספקי ה-AI, המודלים וערוצי ההודעות שבשימוש, למנות כל צומת מחובר עם הפלטפורמה וכתובת ה-IP שלו, ולקרוא את יומני האפליקציה. משם Oasis מתארת, ולא מדגימה, את ההסלמה: הוראה לסוכן לחפש בהיסטוריית ה-Slack של המפתח אחר מפתחות API, קריאת הודעות פרטיות, הברחת קבצים ממכשירים משויכים, או הרצת פקודות shell שרירותיות בכל צומת משויך. סיכום החברה את התוצאה הוא שעבור מפתח עם אינטגרציות OpenClaw טיפוסיות זה מסתכם ב"פריצה מלאה לתחנת העבודה, שיזומה מלשונית דפדפן".

ההדגמה שאואזיס פרסמה, עם הוכחת היתכנות בווידאו, צרה יותר מהתיאור הזה: דפדפן באתר לא קשור ניחש את סיסמת ה-gateway, התחבר עם הרשאות מלאות והצליח לתקשר עם הסוכן של המשתמש, בלי שום אינדיקציה שהוצגה למשתמש. חילוץ הקבצים והרצת ה-shell מתוארים כדברים שהגישה מאפשרת, ולא כשלבים שהוכחת ההיתכנות ביצעה. ההבחנה הזו חשובה כשהתיעוד נקרא כאירוע שהתרחש בפועל ולא כאירוע שהודגם.

התיקון נכנס בגרסה 2026.2.25, לא ב־2026.2.26

Oasis הורתה לקוראים לעדכן לגרסה 2026.2.25 או מאוחרת יותר, וגם הודעת הייעוץ של OpenClaw עצמה מסכימה עם כך. הודעת הייעוץ ב-GitHub, GHSA-jmmg-jqc7-5qf4, מפרטת גרסאות מושפעות כ-2026.2.24 ומטה, גרסאות מתוקנות כ-2026.2.25 ומעלה, ומייחסת את הדיווח ל-@luz-oasis, ראש המחקר של Oasis, Elad Luz. חתימת הזמן של npm registry עבור 2026.2.25 היא 04:16 UTC ב-26 בפברואר 2026, והערות השחרור של הפרויקט לגרסה זו מתארות את התיקון במונחים שממופים אחד לאחד לשלושת ברירות המחדל: "Security/Gateway WebSocket auth: אכיפת בדיקות origin עבור לקוחות WebSocket ישירים מדפדפן מעבר ל-Control UI/Webchat, החלת הגבלת קצב על כשלי אימות סיסמה לניסיונות loopback ממקור דפדפן (כולל localhost), וחסימת צימוד אוטומטי שקט עבור לקוחות דפדפן שאינם Control UI."

שניים מדיווחי החדשות מציינים מספר שונה. BleepingComputer אומר שהתיקון "שוחרר בגרסה 2026.2.26 ב-26 בפברואר", ו-SecurityAffairs חוזר ואומר ש-2026.2.26 היה הגרסה שטיפלה בבעיה, בעוד שפסקת ההמלצות שלו עצמו אומרת לקוראים לעדכן ל-2026.2.25 או מאוחר יותר. Infosecurity Magazine, שסיקר את החשיפה ב-2 במרץ 2026, מציין את 2026.2.25. גרסה 2026.2.26 אכן קיימת, אך npm רושם אותה בשעה 23:59 UTC ב-26 בפברואר, כעשרים שעות לאחר 2026.2.25, וההערות שלה מהוות מקבץ נפרד של הקשחה. התיקון שעל הקורא לחפש הוא זה שב-2026.2.25.

המזהה הופיע מאוחר יותר. ייעוץ האבטחה של GitHub פורסם ב-3 במרץ 2026 תחת CVE-2026-32025, והרשומה של NVD עבורו פורסמה ב-19 במרץ 2026 עם ציון בסיס CVSS 3.1 של 7.5, ודורג כגבוה על ידי NVD כמדרג הראשי ועל ידי VulnCheck כמדרג משני. הייעוץ עצמו זהיר יותר מהציון: שדה החומרה שלו מציין "מתון", והטקסט שלו מכנה את הבאג "חמור, אך מותנה", ומפרט ארבעה תנאים מוקדמים — שהשער נגיש ב-loopback, אימות סיסמה בשימוש, שהקורבן פותח תוכן אינטרנטי בשליטת התוקף, וסיסמה הניתנת לניחוש במספר ניסיונות סביר. הוא גם מציין בבירור מה הבאג אינו: "זה אינו כשלעצמו בעיית RCE מסוג חשיפה לאינטרנט ללא אימות; זהו פער מקומי בהקשחת אימות שמקורו בדפדפן, עם השפעה משמעותית בתנאים שלעיל."

מאיפה מגיע ה-42,665, ולמה זה לא מספר של ClawJacked

סיכום הארכיון מתעד ש-42,665 מופעים היו חשופים בעת החשיפה, ומציין ש-SecurityScorecard מספקת נתון שונה של 40,214, שמתוכם 35.4% היו פגיעים. אף אחד משלושת המקורות המצוטטים עבור רשומה זו אינו מכיל את אף אחד משני המספרים — Oasis, BleepingComputer ו-SecurityAffairs כולם מתארים את הפגיעות בלי לצרף ספירת בסיס מותקן. שני הנתונים מגיעים ממקום אחר, ושניהם פורסמו לפני ש-ClawJacked היה קיים.

הנתון 42,665 הוא סריקה עצמאית. מאור דיין, חוקר אבטחה שפרסם את ממצאיו ב-Medium, בנה סורק בשם ClawdHunter v3.0 והריץ אותו על נתוני Shodan ו-Censys שנאספו בין 28 ל-31 בינואר 2026, ודיווח על "לפחות 42,665 מופעים" של OpenClaw החשופים באופן ציבורי לאינטרנט, מתוכם 5,194 אומתו באופן פעיל כפגיעים ו-93.4% מהמאומתים הראו עקיפת אימות. הנתון 40,214 הוא של צוות STRIKE של SecurityScorecard, במחקר שפורסם ב-9 בפברואר 2026, אשר מנה מופעים של OpenClaw החשופים לאינטרנט וסימן 15.2K כפגיעים להרצת קוד מרחוק, עם "35.4% מהפריסות שנצפו סומנו כפגיעות". נקודות הסיכום של SecurityScorecard עצמה מציינות 42.9K כתובות IP ייחודיות שמארחות לוחות בקרה חשופים, לצד 40,214 המופעים המאומתים בטקסט הגוף שלה — שתי מדידות שונות בתוך דוח אחד.

אף אחד משני המספרים אינו מודד את היקף ההשפעה של ClawJacked, משום ששניהם סופרים מופעים המשיבים בממשק ציבורי. התנאי המוקדם של ClawJacked הוא תצורה הפוכה: שער המחובר ל-loopback, במצב סיסמה, על מחשב שהמשתמש בו גולש לעמוד עוין. שרת שנספר בסריקה רוחבית באינטרנט עשוי לשבת מאחורי אימות משל עצמו ולא להיות מושפע מהבאג הזה, בעוד שהמחשב הנייד שלעולם אינו מופיע בסריקה כזו הוא בדיוק היעד שתיאר Oasis. הניסוח של הארכיון עצמו, "בעת הגילוי", מייחס אפוא ספירת אוכלוסייה מינואר לפגיעוּת מפברואר. הספירות הן מדידות אמיתיות של מידת החשיפה של OpenClaw; הן אינן ספירה של המכונות ש-ClawJacked היה יכול להשתלט עליהן. מאמר זה אינו מכריע במחלוקת — הרשומה אינה מסומנת כמחלוקת — אך ניתן לבדוק את מקורם של שני הנתונים, והוא אינו תומך במסגור "בעת הגילוי".

מה מבוסס, ומה לא

מבוסס: ש-Oasis Security מצאה את השרשרת והדגימה אותה במעבדה; שהודעת הייעוץ והערות השחרור של OpenClaw עצמה מאשרות את שלושת דפוסי ההתנהגות — היעדר אכיפת מקור (origin) עבור לקוחות WebSocket בדפדפן, היעדר הגבלת קצב לניסיונות סיסמה דרך loopback, וצימוד אוטומטי שקט — ושגרסה 2026.2.25 שינתה כל אחד מהם; שהתיקון יצא בתוך יום מהדיווח; וששלושה כלי תקשורת מחוץ לבלוג של המגלה עצמו סיקרו אותו. דירוג האמינות A של הארכיון תואם את הרשומה הזו, ואין כאן דבר שנוי במחלוקת על ידי הצדדים המעורבים.

לא הוכח: שאיש השתמש בו. לא מצוטט כאן מקור, ולא נמצא כזה בסיקור סביב החשיפה, המדווח על פגיעה בעולם האמיתי, על קורבן או על נתונים שנלקחו. זה של Oasis הוא הדגמה מעבדתית והכתוב מתאר יכולת תקיפה ולא תקיפה שנצפתה. זה עקבי עם כך שהארכיון אינו מתעד נזק ממשי, וזהו הסייג החשוב ביותר לסיפור: זהו תיעוד של פגיעות, לא דוח פריצה.

שני תיוגים במחזור שגויים, וקל מאוד לרשת את שניהם. כמה פרסומים משניים מייחסים את CVE-2026-25253 ל-ClawJacked. הרשומה של NVD עבור אותו מזהה מתארת באג אחר באותו מוצר: OpenClaw לפני 2026.1.29 נוטל gatewayUrl ממחרוזת שאילתה ומתחבר אליו ללא בקשת אישור תוך שליחת אסימון — גניבת אסימון בלחיצה אחת עם ציון CVSS של 8.8, שפורסם ב-1 בפברואר 2026 ותוקן ב-29 בינואר. זו הפגיעות של ינואר, עם מנגנון אחר ותיקון אחר. המזהה של ClawJacked הוא CVE-2026-32025. Infosecurity Magazine, לעומת זאת, תיאר את ClawJacked כהזרקת פרומפט עקיפה; השרשרת ש-Oasis תיעדה אינה כוללת שום פרומפט ושום החלטת מודל — מדובר בעקיפת אימות שמסתיימת בסשן של מפעיל.

מה השתנה לאחר מכן

OpenClaw תיקנה אותה, פרסמה את ההתראה וזיכתה את המדווח, וה-CVE הוקצה בתוך שבוע מהפרסום הפומבי. ההמלצות של Oasis לארגונים חורגות מהתיקון: למפות אילו סוכנים ועוזרים פועלים במחשבי מפתחים, לעדכן כל מופע, לבחון אילו פרטי גישה ויכולות כל אחד מחזיק ולבטל את מה שאינו בשימוש, ולנהל סוכנים כזהויות לא-אנושיות עם בדיקות כוונה, אכיפת מדיניות, גישה בדיוק בזמן ונתיב ביקורת מאדם לסוכן לפעולה. החברה מוכרת תוכנה בקטגוריה האחרונה, וזה שווה לדעת כששוקלים את ההמלצה האחרונה מול שלוש הראשונות.

ההקשר הרחב הוא ש-ClawJacked היה ייעוץ אבטחה אחד מתוך שטף. מאגר ייעוצי האבטחה של GitHub מכיל אצווה גדולה של ייעוצי אבטחה של OpenClaw מתאריך 3 במרץ 2026 — אותו יום שבו פורסם זה של ClawJacked — המכסים באגים נפרדים של אימות, צימוד, מעבר נתיב ובריחת ארגז חול across versions 2026.2.19 to 2026.2.26. הדפוס שהרשומה של ClawJacked משמרת צר יותר מ"סוכני AI אינם מאובטחים" ושימושי יותר: השער התייחס ל-loopback כגבול אמון, והדפדפן הפך את ההנחה הזו ללא נכונה. כל שירות מקומי שמפטר את 127.0.0.1 מהגבלת קצב, וכל תהליך צימוד מכשירים שמאשר אוטומטית מתקשרים מקומיים, יורש את אותה צורה בין אם יש מאחוריו מודל AI ובין אם לא. במקרה הזה המודל מעולם לא היה הרכיב הפגיע — שכבת האימות שסביבו הייתה.