I pannelli di controllo esposti di OpenClaw: 15.200 host segnalati per esecuzione di codice remoto

Il team di threat intelligence STRIKE di SecurityScorecard ha trascorso un giorno a scansionare l'internet pubblico alla ricerca di pannelli di controllo OpenClaw all'inizio di febbraio 2026 e il 9 febbraio ha riferito di aver trovato 42.900 indirizzi IP univoci che rispondevano in 82 paesi, dei quali 15.200 sembravano vulnerabili all'esecuzione remota di codice. Cyber Security News ha riportato i risultati il 10 febbraio 2026, la data riportata nella scheda. I pannelli sono la console gateway di un agente AI self-hosted che viene eseguito con l'accesso ai file del suo proprietario, quindi la stessa ricerca afferma che un'istanza compromessa consegna chiavi SSH, credenziali cloud e sessioni browser attive. Nessuna vittima nominata e nessuna acquisizione di massa confermata compare nelle fonti consultate per questo articolo. La scheda completa, con i suoi livelli di gravità e affidabilità, si trova nell'Orca AI Incident Archive, accanto alle altre voci OpenClaw dello stesso mese.

Ciò che rende il numero degno di essere letto con attenzione è che non è il numero del titolo. La cifra di 15.200 è il sottoinsieme che STRIKE ha giudicato sfruttabile, non la popolazione che ha rilevato esposta. Lo stesso team ha indicato il totale in 42.900 indirizzi IP univoci, e la sua dashboard live, declawed.io, stava ancora conteggiando.

Che cosa ha contato la scansione e perché i suoi numeri non concordano

Il metodo di STRIKE era il fingerprinting anziché i tentativi di accesso. Il team ha confrontato i file favicon che OpenClaw serve nelle sue tre ere di branding, ha incrociato i nomi comuni dei certificati TLS, il reverse DNS e i log di trasparenza dei certificati, e ha integrato i dati su violazioni e attori delle minacce di SecurityScorecard. La progressione pubblicata è una misura utile di quanto rapidamente si sia evoluto il quadro: una ricerca basata sul titolo ha trovato 24.034 istanze, il fingerprinting delle favicon ne ha confermate 40.214, e 23.505 di queste mostravano un'interfaccia attiva del pannello di controllo (SecurityScorecard, 9 febbraio 2026).

I conteggi principali sono quelli riportati nella sintesi esecutiva del report: 42,9K indirizzi IP univoci in 82 paesi, 15,2K istanze segnalate come vulnerabili a RCE, che il report esprime come il 35,4% delle implementazioni osservate, 24K+ istanze associate a CVE note e 53,3K istanze indicate come correlate a precedenti attività di violazione. Quest'ultimo dato è maggiore del totale di 42,9K in cui dovrebbe essere compreso, e SecurityScorecard non spiega la discrepanza nel post. Il report afferma inoltre che i conteggi vengono aggiornati ogni 15 minuti, il che significa che qualsiasi singola istantanea è un dato in continuo movimento.

Una seconda lettura indipendente della stessa ricerca è uscita lo stesso giorno e non concorda. Infosecurity Magazine ha riportato 40.214 istanze esposte associate a 28.663 indirizzi IP univoci, 12.812 sfruttabili tramite RCE, che la rivista ha indicato come il 63% delle implementazioni osservate, 549 istanze correlate a precedenti attività di violazione e 1.493 con vulnerabilità note (Phil Muncaster, 9 febbraio 2026). I due resoconti divergono di quasi cento volte sulla correlazione con le violazioni, e le loro stime su quanti host siano effettivamente sfruttabili differiscono quasi del doppio. Non possono entrambi descrivere la stessa popolazione con lo stesso denominatore, e nessuna delle due fonti dichiara quale denominatore abbia usato. Il dato dell'archivio stesso, 15.200, proviene dal primo di questi resoconti.

Il pannello di controllo di un agente non è una pagina web

Il motivo per cui una porta associata in modo errato è importante qui è ciò che si trova dietro di essa. Un gateway OpenClaw conserva le credenziali che l'agente usa per agire: la directory delle credenziali in ~/.openclaw/credentials, le chiavi SSH in ~/.ssh, i profili del browser con sessioni attive e gli account di messaggistica attraverso cui l'agente comunica. L'elenco di SecurityScorecard prosegue con i cron job e gli hook heartbeat che un attaccante potrebbe usare per la persistenza, e con quello che definisce il contesto di memoria dell'agente, tutto ciò che l'agente sa del suo proprietario.

Quell'eredità è il vero risultato, e il report lo afferma senza fronzoli: "L'AI agentica non crea nuove classi di vulnerabilità. Eredita quelle vecchie e ne amplifica l'impatto." L'agente non è la vulnerabilità. È il privilegio che un normale pannello di amministrazione esposto ormai porta con sé.

La tesi del binding predefinito, e dove è più limitata di quanto sembri

L'affermazione causale di SecurityScorecard è netta: "Appena installato, OpenClaw si lega a 0.0.0.0:18789, il che significa che ascolta su tutte le interfacce di rete, compresa Internet pubblica. Per uno strumento così potente, l'impostazione predefinita dovrebbe essere 127.0.0.1 (solo localhost). Non lo è."

Ciò è vero per un percorso di distribuzione e non per un altro, e la differenza è importante per chiunque debba decidere se è interessato. Nel docker-compose.yml del progetto stesso al tag v2026.1.29, il container del gateway viene avviato con il flag --bind ${OPENCLAW_GATEWAY_BIND:-lan}, che per impostazione predefinita punta all'indirizzo LAN, e lo stesso file pubblica la porta 18789 sull'host senza prefisso di indirizzo, il che la associa a ogni interfaccia dell'host. Il gateway nativo da riga di comando è diverso: in src/cli/gateway-cli/run.ts allo stesso tag, il valore di bind ricade su "loopback" quando non è presente né un flag né un'impostazione di configurazione, e il processo rifiuta di avviarsi su un indirizzo non loopback senza un segreto condiviso. Una revisione del codice della community pubblicata nel repository explain-openclaw opera la stessa distinzione, sostenendo che la formulazione «out of the box» confonde il default di compose con quello della CLI nativa.

Ciò non riduce l'esposizione rilevata dalla scansione. Un container distribuito da un host cloud usando il file compose del progetto stesso è esattamente il tipo di deployment che una scansione delle favicon segnalerebbe, e le build più vecchie precedenti alla rinomina, che il report considera la maggioranza, potrebbero benissimo essere state più permissive di entrambe le configurazioni predefinite attuali. Significa però che la domanda pratica per un operatore è quale di quei due percorsi abbia usato, non se OpenClaw sia intrinsecamente esposto pubblicamente.

Tre CVE, un rilascio di patch e un punteggio che dipende da chi conta

Le tre vulnerabilità citate da STRIKE sono state tutte corrette nella versione 2026.1.29, la cui release su GitHub ha timestamp 05:26 UTC del 30 gennaio 2026. CVE-2026-25253 è la RCE con un solo clic tramite il parametro gatewayUrl, con punteggio 8.8 nel record di NVD, un punteggio fornito da MITRE. CVE-2026-24763 è l'escape dalla sandbox Docker tramite manipolazione di PATH, anch'essa 8.8, valutata dall'advisory di GitHub. CVE-2026-25157 è la command injection SSH nell'app macOS.

Il terzo punteggio è il punto in cui i numeri in circolazione divergono. Il post di SecurityScorecard e il report di Cyber Security News lo indicano entrambi come 7.8. Consultato il 5 novembre 2026, il record di NVD riporta 7.7 dall'advisory GitHub che funge da CNA per il problema, e 7.5 da NIST come valutatore principale. I punteggi sono vicini, ma non sono lo stesso numero, e il 7.8 che accompagna la copertura specializzata non è quello presente in nessuna delle due attuali voci NVD.

Una proprietà di CVE-2026-25253 merita una frase a sé, perché cambia il consiglio di mitigazione: SecurityScorecard osserva che la catena di furto del token funziona «anche se l'istanza è vincolata a localhost». Vincolare a 127.0.0.1 chiude la via di accesso diretto misurata dalla scansione. Non chiude quella.

La release di correzione non era solo un insieme di patch CVE. Le sue note registrano una modifica incompatibile: la modalità di autenticazione del gateway "none" è stata rimossa e il gateway ora richiede un token o una password, insieme a un avviso del doctor quando il gateway è esposto senza autenticazione. Una build abbastanza vecchia da chiamarsi ancora Clawdbot o Moltbot è precedente a tutto ciò.

78% è un'etichetta di branding, non una stringa di versione

L'affermazione del record secondo cui le CVE sono ampiamente non patchate si basa su un indicatore surrogato. STRIKE ha suddiviso i 23.505 pannelli attivi in base al titolo che servivano: Clawdbot Control 9.280 (39,5%), Moltbot Control 9.048 (38,5%) e OpenClaw Control 5.177 (22,0%). Da ciò il rapporto conclude che il 78% delle istanze esposte "ha eseguito versioni precedenti con nomi che precedono le patch di sicurezza critiche", e aggiunge la parola "suggerisce" nella frase successiva.

È un'inferenza ragionevole ed è comunque un'inferenza. Il titolo del pannello è una stringa che la build scrive su se stessa, e il rapporto non pubblica un istogramma delle versioni. Un deployment può servire il titolo corrente ed essere comunque indietro di mesi, cosa che il rapporto stesso ammette quando dice che il 22% sul branding OpenClaw «potrebbe comunque trattarsi di build obsolete». La direzione della conclusione, cioè che la maggior parte dei deployment esposti è vecchia, è corroborata dalla forma dell'ecosistema più che da un censimento a livello di patch.

La linea sugli attori delle minacce e la precisazione che la accompagna

Questa è la parte del documento che più probabilmente verrà citata fuori contesto, quindi vale la pena esporre esattamente ciò che afferma la fonte primaria. STRIKE scrive che alcuni IP di istanze sono correlati a infrastrutture precedentemente attribuite a gruppi denominati, elencando Kimsuky, APT28, Salt Typhoon, Sandworm e APT41. Poi definisce cosa ciò significhi: l'indirizzo IP o la sua infrastruttura di hosting era stato precedentemente osservato in connessione con le operazioni di quel gruppo, quindi un'istanza "collegata a Kimsuky" è una il cui hosting è stato segnalato nei feed di threat intelligence. E aggiunge la frase che i riassunti omettono: "Questo è un segnale di intelligence, non una prova di un'operazione diretta."

La percentuale è una misurazione separata con un denominatore separato. SecurityScorecard afferma che circa il 33.8% delle istanze arricchite mostra una correlazione con violazioni di dati, che definisce come il fatto che l'organizzazione di hosting sia comparsa in precedenti registri di violazioni di dati. Si tratta di un'affermazione sulla storia della sicurezza dell'host, non su un APT che gestisce il pannello. Il rapporto di Cyber Security News la rende come «circa il 33.8% dell'infrastruttura esposta è correlato all'attività di attori di minaccia noti», e il riepilogo dell'archivio riporta una versione di tale inquadramento. Confrontato con la fonte primaria, il 33.8% è una correlazione con violazioni all'interno di un sottoinsieme arricchito, e la correlazione con attori di minaccia è una quantità senza nome e più piccola che il fornitore si rifiuta esplicitamente di considerare una prova.

Cosa è stato effettivamente danneggiato

L'archivio classifica questo record come un incidente con danno reale, gravità elevata e confidenza A. Ciò che le fonti citate documentano è un'esposizione, non un conteggio delle vittime: agenti attivi raggiungibili dall'Internet aperta, credenziali custodite dietro un pannello non autenticato e una quota consistente di host i cui operatori sono già comparsi in dati di violazioni. Né SecurityScorecard né Infosecurity Magazine nomina una vittima, un riscatto, un set di dati sottratto o un singolo takeover confermato riconducibile a un pannello esposto. Il danno registrato è l'opportunità persistente, misurata su larga scala, più la correlazione del fornitore stesso secondo cui un terzo degli host arricchiti era già compromesso altrove.

Quella distinzione dovrebbe sopravvivere alla lettura. Un rilevamento di esposizione di questa entità non è prova che le esposizioni siano state sfruttate, e le fonti consultate qui non affermano che lo siano state.

Quello che i ricercatori hanno detto agli operatori di fare

L'elenco di remediation di SecurityScorecard è specifico e riguarda per lo più l'annullamento della configurazione predefinita: applicare la patch alla versione v2026.2.1 o successiva, che è più recente della release che ha corretto le tre CVE; impostare gateway.bind su "127.0.0.1"; raggiungere il pannello tramite Tailscale, WireGuard, Cloudflare Tunnel o ngrok anziché tramite una porta aperta; ruotare ogni token e chiave API memorizzati nell'agente, considerandoli già compromessi; eseguire openclaw security audit deep; non eseguire mai il framework come root; e, per i team di sicurezza, bloccare la porta 18789 al perimetro e monitorare il traffico in uscita con caratteristiche da command-and-control proveniente dalle workstation interne.

Due di questi meritano particolare attenzione, perché è facile trascurarli. La rotazione delle credenziali non è subordinata alla presenza di prove di compromissione, perché il pannello che avrebbe potuto esporre le chiavi è lo stesso che le autentica. E la versione minima delle patch non è 2026.1.29, anche se è lì che sono state corrette le tre CVE, perché la raccomandazione di STRIKE stessa è 2026.2.1 o successiva.

I ricercatori hanno anche pubblicato il loro contatore. La dashboard declawed su declawed.io presenta i conteggi delle esposizioni, lo stato CVE per istanza e la correlazione con le violazioni, aggiornati ogni 15 minuti, che è l'unico modo per leggere cifre che si muovevano così rapidamente come tendenza anziché come titolo di giornale.

Stabilito, segnalato, irrisolto

Gli elementi che risultano coerenti tra le fonti: il gateway di OpenClaw conserva le credenziali con cui agisce il suo agente; il file docker-compose del progetto alla v2026.1.29 pubblica la porta 18789 su tutte le interfacce host e applica per impostazione predefinita un bind LAN; tre CVE denominate sono state corrette nella v2026.1.29, rilasciata il 30 gennaio 2026; e un'ampia scansione su Internet ha rilevato decine di migliaia di pannelli esposti, una cifra che sia SecurityScorecard sia Infosecurity Magazine collocano pari o superiore a 40.000 in una certa unità di misura.

Le parti riportate dal fornitore e non riprodotte in modo indipendente: i conteggi di 42,9K e 15,2K, la diffusione in 82 paesi, il dato di 53,3K sulla correlazione con le violazioni, il tasso di violazioni arricchito del 33,8% e l'inferenza pre-patch del 78%. Il diverso insieme di numeri di Infosecurity Magazine è una seconda lettura della stessa ricerca, non una misurazione indipendente, e nessuna terza parte ha rieseguito la scansione.

Le parti che restano aperte: quale denominatore abbia usato ciascun conteggio pubblicato, perché il totale della correlazione con le violazioni superi il totale degli IP nella stessa sintesi del fornitore, se gli indirizzi correlati all'APT riflettano operatori che usano OpenClaw o infrastrutture che per caso lo ospitano, e se qualche pannello esposto sia stato effettivamente compromesso. Le fonti lette per questo articolo non rispondono a nessuna di queste domande, e la documentazione non afferma che lo facciano.