Panel kontrol OpenClaw yang terekspos: 15.200 host ditandai untuk eksekusi kode jarak jauh

Tim intelijen ancaman STRIKE milik SecurityScorecard menghabiskan satu hari memindai internet publik untuk mencari panel kendali OpenClaw pada awal Februari 2026 dan melaporkan pada 9 Februari bahwa mereka menemukan 42.900 alamat IP unik yang merespons di 82 negara, dan 15.200 di antaranya tampak rentan terhadap eksekusi kode jarak jauh. Cyber Security News memuat temuan itu pada 10 Februari 2026, tanggal yang tercatat dalam rekaman. Panel-panel tersebut merupakan konsol gerbang dari agen AI yang dihosting sendiri dan berjalan dengan akses berkas milik pemiliknya, sehingga riset yang sama menyebutkan bahwa instans yang disusupi menyerahkan kunci SSH, kredensial cloud, dan sesi peramban yang aktif. Tidak ada korban yang disebutkan namanya dan tidak ada pengambilalihan massal yang terkonfirmasi dalam sumber-sumber yang dibaca untuk tulisan ini. Rekaman lengkapnya, beserta tingkat keparahan dan keyakinannya, terdapat di Orca AI Incident Archive, di samping entri-entri OpenClaw lainnya dari bulan yang sama.

Yang membuat angka itu layak dibaca dengan cermat adalah bahwa angka itu bukan angka di judul. Angka 15,200 adalah subset yang dinilai STRIKE dapat dieksploitasi, bukan populasi yang ditemukannya terekspos. Tim yang sama menetapkan totalnya pada 42,900 alamat IP unik, dan dasbor langsungnya sendiri, declawed.io, masih terus menghitung.

Apa yang dihitung pemindaian, dan mengapa angka-angkanya tidak sesuai

Metode STRIKE adalah fingerprinting, bukan upaya login. Tim mencocokkan file favicon yang disajikan OpenClaw di tiga era branding-nya, melakukan referensi silang nama umum sertifikat TLS, reverse DNS, dan log transparansi sertifikat, serta menarik data pelanggaran dan aktor ancaman milik SecurityScorecard sendiri. Progresi yang dipublikasikan merupakan ukuran berguna tentang seberapa cepat gambaran berubah: pencarian berbasis judul menemukan 24.034 instans, fingerprinting favicon mengonfirmasi 40.214, dan 23.505 di antaranya menunjukkan antarmuka panel kontrol aktif (SecurityScorecard, 9 Februari 2026).

Angka-angka utama adalah yang diberikan ringkasan eksekutif laporan: 42.9K alamat IP unik di 82 negara, 15.2K instans yang ditandai rentan terhadap RCE, yang dinyatakan laporan sebagai 35.4% dari deployment yang diamati, 24K+ instans yang terkait dengan CVE yang diketahui, dan 53.3K instans yang diklaim berkorelasi dengan aktivitas pelanggaran sebelumnya. Angka terakhir itu lebih besar daripada total 42.9K yang seharusnya mencakupnya, dan SecurityScorecard tidak menjelaskan ketidaksesuaian tersebut dalam postingan. Laporan itu juga menyebutkan bahwa jumlahnya diperbarui setiap 15 menit, yang berarti setiap snapshot tunggal adalah target yang bergerak.

Pembacaan kedua yang independen atas riset yang sama muncul pada hari yang sama dan tidak cocok. Infosecurity Magazine melaporkan 40.214 instans terekspos yang terkait dengan 28.663 alamat IP unik, 12.812 dapat dieksploitasi melalui RCE, yang menurutnya merupakan 63% dari penerapan yang diamati, 549 instans berkorelasi dengan aktivitas pelanggaran sebelumnya, dan 1.493 dengan kerentanan yang diketahui (Phil Muncaster, 9 Februari 2026). Kedua laporan tersebut berbeda hampir seratus kali lipat dalam hal korelasi pelanggaran, dan perkiraan mereka tentang berapa banyak host yang benar-benar dapat dieksploitasi berbeda hampir dua kali lipat. Keduanya tidak mungkin menggambarkan populasi yang sama dengan penyebut yang sama, dan tidak ada sumber yang menyatakan penyebut mana yang digunakan. Angka arsip itu sendiri, 15.200, berasal dari laporan pertama di antara keduanya.

Panel kontrol agen bukan halaman web

Alasan port yang salah di-bind menjadi penting di sini adalah apa yang berada di belakangnya. Gateway OpenClaw menyimpan kredensial yang digunakan agen untuk bertindak: direktori kredensial di ~/.openclaw/credentials, kunci SSH di ~/.ssh, profil browser dengan sesi aktif, dan akun perpesanan yang digunakan agen untuk berbicara. Daftar SecurityScorecard berlanjut ke cron job dan hook heartbeat yang dapat digunakan penyerang untuk persistensi, serta ke apa yang disebutnya sebagai konteks memori agen, yakni segala hal yang diketahui agen tentang pemiliknya.

Pewarisan itulah temuan sebenarnya, dan laporan menyatakannya tanpa hiasan: "AI agentik tidak menciptakan kelas kerentanan baru. Ia mewarisi yang lama dan memperbesar dampaknya." Agen bukanlah kerentanannya. Ia adalah hak istimewa yang kini dibawa oleh panel admin biasa yang terekspos.

Klaim pengikatan default, dan di mana klaim itu lebih sempit daripada kedengarannya

Klaim kausal SecurityScorecard blak-blakan: "Secara bawaan, OpenClaw mengikat ke 0.0.0.0:18789, artinya ia mendengarkan di semua antarmuka jaringan, termasuk internet publik. Untuk alat sekuat ini, nilai bawaannya seharusnya 127.0.0.1 (hanya localhost). Kenyataannya bukan."

Hal itu berlaku untuk satu jalur deployment dan tidak berlaku untuk jalur lainnya, dan perbedaannya penting bagi siapa pun yang memutuskan apakah mereka terdampak. Dalam docker-compose.yml milik proyek pada tag v2026.1.29, kontainer gateway dijalankan dengan flag --bind ${OPENCLAW_GATEWAY_BIND:-lan}, yang secara default mengarah ke alamat LAN, dan file yang sama memublikasikan port 18789 di host tanpa prefiks alamat, sehingga mengikatnya ke semua antarmuka host. Gateway command-line native berbeda: dalam src/cli/gateway-cli/run.ts pada tag yang sama, nilai bind kembali ke "loopback" bila tidak ada flag maupun pengaturan konfigurasi, dan prosesnya menolak untuk mulai pada alamat non-loopback tanpa shared secret. Tinjauan kode komunitas yang diterbitkan di repositori explain-openclaw membuat pembedaan yang sama, dengan berargumen bahwa frasa "out of the box" mencampuradukkan default compose dengan default CLI native.

Ini tidak mengurangi eksposur yang ditemukan pemindaian. Kontainer yang di-deploy dari file compose milik proyek ke host cloud justru merupakan bentuk deployment yang akan ditandai oleh pemindaian favicon, dan build lama sebelum penggantian nama yang dihitung laporan sebagai mayoritas mungkin saja lebih permisif daripada salah satu default saat ini. Ini berarti pertanyaan praktis bagi operator adalah jalur mana dari kedua jalur itu yang mereka gunakan, bukan apakah OpenClaw secara inheren menghadap publik.

Tiga CVE, satu rilis patch, dan skor yang bergantung pada siapa yang menghitung

Ketiga kerentanan yang dikutip STRIKE semuanya diperbaiki pada versi 2026.1.29, yang rilis GitHub-nya bertanda waktu 05:26 UTC pada 30 Januari 2026. CVE-2026-25253 adalah RCE sekali klik melalui parameter gatewayUrl, dengan skor 8.8 dalam catatan NVD, skor yang diberikan MITRE. CVE-2026-24763 adalah pelarian dari sandbox Docker melalui manipulasi PATH, juga 8.8, dinilai oleh advisory GitHub. CVE-2026-25157 adalah injeksi perintah SSH di aplikasi macOS.

Skor ketiga adalah titik ketika angka-angka yang beredar mulai berbeda. Tulisan SecurityScorecard dan laporan Cyber Security News sama-sama menyebutnya 7.8. Saat dibaca pada 5 November 2026, catatan NVD memuat 7.7 dari advisory GitHub yang berperan sebagai CNA untuk masalah ini, dan 7.5 dari NIST sebagai penilai utama. Skornya berdekatan, tetapi bukan angka yang sama, dan 7.8 yang menyertai liputan industri bukanlah angka yang ada di salah satu entri NVD saat ini.

Satu properti CVE-2026-25253 layak mendapat kalimat tersendiri, karena mengubah saran mitigasi: SecurityScorecard mencatat bahwa rantai pencurian token berfungsi "bahkan jika instans terikat ke localhost." Mengikat ke 127.0.0.1 menutup rute akses langsung yang diukur pemindaian. Namun tidak menutup yang itu.

Rilis perbaikan tersebut bukan sekadar kumpulan patch CVE. Catatan rilisnya mencatat adanya breaking change, yaitu mode autentikasi gateway "none" dihapus dan gateway kini mewajibkan token atau kata sandi, disertai peringatan doctor saat gateway terekspos tanpa autentikasi. Build yang usianya cukup tua sehingga masih menyebut dirinya Clawdbot atau Moltbot sudah ada jauh sebelum semua itu.

78% adalah label branding, bukan string versi

Klaim catatan bahwa CVE-CVE tersebut sebagian besar belum ditambal bergantung pada proksi. STRIKE membagi 23.505 panel aktif berdasarkan judul yang disajikan: Clawdbot Control 9.280 (39,5%), Moltbot Control 9.048 (38,5%), dan OpenClaw Control 5.177 (22,0%). Dari situ laporan menyimpulkan bahwa 78% instans yang terekspos "telah menjalankan versi lama dengan nama yang mendahului tambalan keamanan kritis," dan menambahkan kata "menyarankan" pada kalimat berikutnya.

Ini adalah inferensi yang wajar dan tetap merupakan inferensi. Judul panel adalah string yang ditulis build tentang dirinya sendiri, dan laporan tidak menerbitkan histogram versi. Sebuah deployment dapat menyajikan judul saat ini dan tetap tertinggal berbulan-bulan, yang diakui laporan itu sendiri ketika menyatakan bahwa 22% pada branding OpenClaw "mungkin masih build yang sudah usang." Arah temuan, bahwa sebagian besar deployment yang terekspos sudah lama, dikuatkan oleh bentuk ekosistem, bukan oleh sensus tingkat patch.

Lini aktor ancaman, dan kaveat yang melekat padanya

Ini adalah bagian catatan yang paling mungkin dikutip di luar konteks, jadi penting untuk menjelaskan secara tepat apa yang dikatakan sumber primer. STRIKE menulis bahwa beberapa IP instans berkorelasi dengan infrastruktur yang sebelumnya dikaitkan dengan kelompok bernama, dengan menyebut Kimsuky, APT28, Salt Typhoon, Sandworm, dan APT41. Lalu STRIKE menjelaskan artinya: alamat IP atau infrastruktur hosting-nya sebelumnya pernah teramati sehubungan dengan operasi kelompok tersebut, sehingga instans yang "linked to Kimsuky" adalah instans yang hosting-nya telah ditandai dalam feed intelijen ancaman. Dan STRIKE menambahkan kalimat yang dihilangkan oleh ringkasan: "This is an intelligence signal, not proof of direct operation."

Persentase tersebut merupakan pengukuran terpisah dengan penyebut terpisah. SecurityScorecard menyatakan sekitar 33,8% instans yang diperkaya menunjukkan korelasi pelanggaran, yang didefinisikannya sebagai organisasi penyedia hosting yang pernah muncul dalam catatan pelanggaran data sebelumnya. Itu adalah pernyataan tentang riwayat keamanan host, bukan tentang APT yang mengoperasikan panel. Laporan Cyber Security News menyajikannya sebagai "sekitar 33,8% dari infrastruktur yang terekspos berkorelasi dengan aktivitas aktor ancaman yang diketahui," dan ringkasan arsip memuat versi pembingkaian tersebut. Jika dibaca terhadap sumber primer, 33,8% adalah korelasi pelanggaran di antara subset yang diperkaya, dan korelasi aktor ancaman adalah kuantitas yang lebih kecil dan tidak disebutkan namanya yang secara eksplisit tidak dianggap bukti oleh vendor.

Apa yang sebenarnya dirugikan

Arsip menilai catatan ini sebagai insiden dengan kerugian nyata, tingkat keparahan tinggi, dan keyakinan A. Yang didokumentasikan oleh sumber-sumber yang dikutip adalah keterpaparan, bukan hitungan korban: agen aktif yang dapat dijangkau dari internet terbuka, kredensial yang tersimpan di balik panel tanpa autentikasi, dan sebagian besar host yang operatornya sudah muncul dalam data kebocoran. Baik SecurityScorecard maupun Infosecurity Magazine tidak menyebutkan korban, tebusan, set data yang diambil, atau satu pun pengambilalihan terkonfirmasi yang terlacak ke panel yang terekspos. Kerugian yang dicatat adalah peluang yang tetap terbuka, diukur dalam skala besar, ditambah korelasi dari vendor itu sendiri bahwa sepertiga host yang diperkaya sudah terkompromi di tempat lain.

Perbedaan itu harus tetap dipertahankan saat membaca. Temuan keterpaparan sebesar ini bukan bukti bahwa keterpaparan tersebut digunakan, dan sumber-sumber yang dibaca di sini tidak mengklaim demikian.

Apa yang para peneliti perintahkan kepada operator untuk dilakukan

Daftar remediasi SecurityScorecard bersifat spesifik dan sebagian besar tentang membatalkan pengaturan default: tambal ke v2026.2.1 atau yang lebih baru, yang lebih baru daripada rilis yang memperbaiki ketiga CVE; setel gateway.bind ke "127.0.0.1"; akses panel melalui Tailscale, WireGuard, Cloudflare Tunnel, atau ngrok alih-alih port terbuka; rotasi setiap token dan kunci API yang tersimpan di agen, dengan menganggapnya sudah disusupi; jalankan openclaw security audit deep; jangan pernah menjalankan framework sebagai root; dan, bagi tim keamanan, blokir port 18789 di perimeter dan pantau lalu lintas keluar dari workstation internal yang berbentuk command-and-control.

Dua dari hal tersebut perlu ditekankan karena mudah terlewat. Rotasi kredensial tidak bergantung pada adanya bukti kompromi, sebab panel yang seharusnya mengekspos kunci tersebut adalah panel yang sama yang mengautentikasinya. Dan batas minimum patch bukanlah 2026.1.29 meskipun di versi itulah ketiga CVE diperbaiki, karena rekomendasi STRIKE sendiri adalah 2026.2.1 atau yang lebih baru.

Para peneliti juga menerbitkan penghitung mereka. Dasbor declawed di declawed.io menyajikan jumlah eksposur, status CVE per instans, dan korelasi kebocoran, yang diperbarui setiap 15 menit, dan merupakan satu-satunya cara untuk membaca angka yang bergerak secepat ini sebagai tren, bukan sebagai berita utama.

Terkonfirmasi, dilaporkan, belum terselesaikan

Bagian-bagian yang konsisten di berbagai sumber: gateway OpenClaw menyimpan kredensial yang digunakan agennya untuk bertindak; file docker-compose proyek pada v2026.1.29 memublikasikan port 18789 di semua antarmuka host dan secara default meneruskan bind LAN; tiga CVE yang disebutkan telah diperbaiki di v2026.1.29, yang dirilis pada 30 Januari 2026; dan pemindaian besar di seluruh internet menemukan puluhan ribu panel yang terekspos, angka yang oleh SecurityScorecard dan Infosecurity Magazine sama-sama disebutkan pada atau di atas 40.000 dalam satuan tertentu.

Bagian-bagian yang dilaporkan vendor dan tidak direproduksi secara independen: jumlah 42,9K dan 15,2K, sebaran 82 negara, angka korelasi kebocoran 53,3K, tingkat kebocoran yang diperkaya sebesar 33,8%, dan inferensi pra-patch sebesar 78%. Kumpulan angka Infosecurity Magazine yang berbeda merupakan pembacaan kedua atas riset yang sama, bukan pengukuran independen, dan belum ada pihak ketiga yang menjalankan ulang pemindaian tersebut.

Bagian yang masih terbuka: penyebut mana yang digunakan setiap hitungan yang dipublikasikan, mengapa total korelasi pelanggaran melebihi total IP dalam ringkasan vendor itu sendiri, apakah alamat yang berkorelasi dengan APT mencerminkan operator yang menggunakan OpenClaw atau infrastruktur yang kebetulan menghostingnya, dan apakah ada panel yang terekspos yang benar-benar diambil alih. Sumber-sumber yang dibaca untuk tulisan ini tidak menjawab satu pun dari itu, dan catatan tersebut tidak mengklaim demikian.