ClawJacked: qualsiasi sito web potrebbe forzare con la forza bruta un agente OpenClaw locale

ClawJacked, una vulnerabilità divulgata da Oasis Security nell'agente AI open source OpenClaw il 26 febbraio 2026, consentiva a qualunque sito web visitato da uno sviluppatore di aprire una connessione con l'agente in esecuzione sulla propria macchina e di indovinarne la password finché l'agente non cedeva il controllo. Non servivano clic, plugin né prompt. La posta in gioco era il gateway che orchestra l'agente: un intruso che fosse riuscito a entrare poteva parlare direttamente con l'agente, scaricare la sua configurazione, elencare tutti i dispositivi associati e leggere i suoi log. Oasis, fornitore di software per la gestione degli accessi agentici, ha dimostrato la catena dall'inizio alla fine nel proprio laboratorio e l'ha segnalata in privato, e OpenClaw ha rilasciato una correzione in meno di 24 ore. Nessuna fonte citata in questo articolo documenta che l'attacco sia stato usato contro un utente reale. L'archivio cataloga l'episodio come incidente infrastrutturale ad alta gravità con data precisa al giorno del 25 febbraio 2026 e nessun danno reale registrato, insieme al resto delle sue voci OpenClaw nell'Orca AI Incident Archive.

Tre valori predefiniti, una catena

OpenClaw è un agente personale self-hosted che i suoi utenti gestiscono da una dashboard web o da un terminale, e che si connette ad app di messaggistica, calendari e strumenti per sviluppatori e agisce al loro interno. Al suo centro c'è un gateway, un server WebSocket locale che Oasis descrive come «il cervello dell'operazione»: gestisce l'autenticazione, memorizza la configurazione, gestisce le sessioni di chat e invia comandi ai nodi, come un'app companion per macOS o un iPhone. L'autenticazione avviene tramite token o password, e il gateway si associa a localhost per impostazione predefinita, sul presupposto esplicito che l'accesso locale sia intrinsecamente fidato (Oasis Security, 26 febbraio 2026).

Tre conseguenze di quell'assunzione, concatenate tra loro. Primo, i browser non applicano le regole cross-origin alle connessioni WebSocket come fanno alle normali richieste HTTP, quindi il JavaScript su qualsiasi pagina visitata dall'utente può aprire un socket verso la porta del gateway locale senza nulla di visibile sullo schermo. Secondo, il limitatore di frequenza del gateway esentava del tutto le connessioni di loopback, quindi i tentativi di password falliti da 127.0.0.1 non venivano conteggiati, limitati né registrati nei log. Terzo, il gateway approvava automaticamente gli abbinamenti di dispositivi provenienti da localhost, quindi uno script autenticato poteva registrarsi come dispositivo attendibile senza la richiesta di conferma che un dispositivo remoto avrebbe attivato.

Oasis ha misurato il tasso di indovinamento nel proprio laboratorio e lo ha riportato nella divulgazione: "Nei nostri test di laboratorio, abbiamo raggiunto un tasso sostenuto di centinaia di tentativi di password al secondo solo tramite JavaScript del browser. A quella velocità, un elenco di password comuni viene esaurito in meno di un secondo, e un ampio dizionario richiederebbe solo pochi minuti. Una password scelta da una persona non ha alcuna possibilità." BleepingComputer, che ha trattato la divulgazione il 1 marzo 2026, descrive gli stessi tre passaggi e lo stesso ordine.

Che cosa ottiene un attaccante e che cosa ha effettivamente mostrato Oasis

Una volta autenticato, lo script manteneva una sessione operatore con permessi di livello amministrativo. Oasis elenca quattro cose che può quindi fare direttamente: inviare messaggi all'agente AI e leggerne le risposte, estrarre la configurazione del gateway, che rivela i provider AI, i modelli e i canali di messaggistica in uso, enumerare ogni nodo connesso con la relativa piattaforma e indirizzo IP, e leggere i log dell'applicazione. Da lì Oasis descrive, anziché dimostrare, l'escalation: istruire l'agente a cercare chiavi API nella cronologia Slack dello sviluppatore, leggere messaggi privati, esfiltrare file da dispositivi accoppiati o eseguire comandi shell arbitrari su qualsiasi nodo accoppiato. Il riepilogo dell'azienda sull'esito è che, per uno sviluppatore con integrazioni OpenClaw tipiche, questo equivale a una "compromissione completa della workstation, avviata da una scheda del browser".

La dimostrazione pubblicata da Oasis, con un video di proof of concept, è più circoscritta di quella descrizione: un browser su un sito non correlato ha indovinato la password del gateway, si è connesso con autorizzazioni complete e ha interagito con successo con l'agente dell'utente, senza alcuna indicazione mostrata all'utente. L'esfiltrazione di file e l'esecuzione di shell sono descritte come ciò che l'accesso rende possibile, non come passaggi eseguiti dal proof of concept. Questa distinzione è importante quando il resoconto viene letto come un incidente realizzato anziché come uno dimostrato.

La patch è arrivata nella 2026.2.25, non nella 2026.2.26

Oasis ha detto ai lettori di aggiornare alla versione 2026.2.25 o successiva, e anche l'avviso di OpenClaw concorda. L'avviso di GitHub, GHSA-jmmg-jqc7-5qf4, elenca le versioni interessate come 2026.2.24 e precedenti, le versioni corrette come 2026.2.25 e successive, e attribuisce la segnalazione a @luz-oasis, il responsabile della ricerca di Oasis Elad Luz. Il timestamp del registro npm per 2026.2.25 è 04:16 UTC del 26 febbraio 2026, e le note di rilascio del progetto per quella versione descrivono la correzione con termini che corrispondono uno a uno ai tre valori predefiniti: "Sicurezza/Gateway WebSocket auth: applicare controlli sull'origine per i client WebSocket diretti del browser oltre a Control UI/Webchat, applicare il throttling degli errori di autenticazione password ai tentativi loopback con origine browser (incluso localhost), e bloccare l'auto-associazione silenziosa per i client browser non-Control-UI."

Due dei servizi giornalistici riportano un numero diverso. BleepingComputer afferma che la correzione è stata «rilasciata nella versione 2026.2.26 il 26 febbraio», e SecurityAffairs ripete che 2026.2.26 è stata la versione che ha risolto il problema, mentre il suo stesso paragrafo di consigli dice ai lettori di aggiornare a 2026.2.25 o successiva. Infosecurity Magazine, che ha trattato la divulgazione il 2 marzo 2026, cita 2026.2.25. La versione 2026.2.26 esiste, ma npm la registra alle 23:59 UTC del 26 febbraio, circa venti ore dopo la 2026.2.25, e le sue note sono un distinto insieme di interventi di hardening. La correzione che un lettore dovrebbe cercare è quella nella 2026.2.25.

L'identificativo è arrivato in seguito. L'avviso di GitHub è stato pubblicato il 3 marzo 2026 con l'identificativo CVE-2026-32025, e il record NVD corrispondente è stato pubblicato il 19 marzo 2026 con un punteggio base CVSS 3.1 di 7,5, valutato alto da NVD come valutatore primario e da VulnCheck come valutatore secondario. L'avviso stesso è più prudente del punteggio: il suo campo di gravità riporta moderato, e il suo testo definisce il bug "grave, ma condizionale", specificando quattro precondizioni — il gateway raggiungibile su loopback, l'autenticazione tramite password in uso, la vittima che apre contenuti web controllati dall'attaccante e una password indovinabile entro un numero fattibile di tentativi. Afferma anche chiaramente cosa non è il bug: "Non si tratta di per sé di un problema RCE non autenticato esposto a Internet; è una lacuna locale di rafforzamento dell'autenticazione legata all'origine del browser, con un impatto significativo nelle condizioni sopra descritte."

Da dove viene il 42.665 e perché non è un numero ClawJacked

Il riepilogo dell'archivio registra che 42.665 istanze erano esposte al momento della divulgazione, e osserva che SecurityScorecard fornisce una cifra diversa, 40.214, delle quali il 35,4% era vulnerabile. Nessuna delle tre fonti citate per questa voce contiene nessuno dei due numeri — Oasis, BleepingComputer e SecurityAffairs descrivono tutte la vulnerabilità senza allegare un conteggio della base installata. Entrambe le cifre provengono da altrove, ed entrambe sono state pubblicate prima che ClawJacked esistesse.

Il 42.665 è una scansione indipendente. Maor Dayan, un ricercatore di sicurezza che ha pubblicato i suoi risultati su Medium, ha creato uno scanner chiamato ClawdHunter v3.0 e lo ha eseguito sui dati di Shodan e Censys raccolti tra il 28 e il 31 gennaio 2026, segnalando "almeno 42.665 istanze" di OpenClaw esposte pubblicamente su internet, delle quali 5.194 sono state attivamente verificate come vulnerabili e il 93,4% di quelle verificate mostrava un bypass dell'autenticazione. Il 40.214 è il dato del team STRIKE di SecurityScorecard, in una ricerca pubblicata il 9 febbraio 2026, che ha contato le istanze di OpenClaw esposte a internet e ha segnalato 15,2K come vulnerabili all'esecuzione di codice remoto, con "il 35,4% delle distribuzioni osservate segnalate come vulnerabili". I punti di riepilogo di SecurityScorecard riportano 42,9K indirizzi IP univoci che ospitano pannelli di controllo esposti, accanto alle 40.214 istanze confermate nel testo principale — due misurazioni diverse all'interno di un unico rapporto.

Nessuno dei due numeri misura la portata di ClawJacked, perché entrambi contano le istanze che rispondono su un'interfaccia pubblica. La precondizione di ClawJacked è la configurazione opposta: un gateway associato al loopback, in modalità password, su una macchina il cui utente naviga verso una pagina ostile. Un server conteggiato in una scansione a livello di Internet può trovarsi dietro la propria autenticazione e non essere toccato da questo bug, mentre il laptop che non compare mai in una simile scansione è esattamente il bersaglio descritto da Oasis. La formulazione stessa dell'archivio, «al momento della divulgazione», associa quindi un conteggio della popolazione di gennaio a una vulnerabilità di febbraio. I conteggi sono misurazioni reali di quanto OpenClaw fosse esposto; non sono un conteggio delle macchine che ClawJacked avrebbe potuto prendere il controllo. Questo articolo non sta dirimendo una disputa — il record non è contrassegnato come contestato — ma la provenienza delle due cifre è verificabile e non supporta l'impostazione «al momento della divulgazione».

Che cosa è stabilito e che cosa non lo è

Stabilito: che Oasis Security ha individuato la catena e l'ha dimostrata in laboratorio; che l'avviso e le note di rilascio di OpenClaw confermano tutti e tre i comportamenti — mancata applicazione dell'origine per i client WebSocket del browser, assenza di limitazione dei tentativi password su loopback, auto-accoppiamento silenzioso — e che la versione 2026.2.25 ha modificato ciascuno di essi; che la correzione è stata rilasciata entro un giorno dalla segnalazione; e che tre testate al di fuori del blog dello stesso scopritore ne hanno dato notizia. Il grado di affidabilità A dell'archivio è coerente con tale documentazione, e nulla di quanto qui riportato è contestato dalle parti coinvolte.

Non stabilito: che qualcuno lo abbia usato. Nessuna fonte citata qui, e nessuna trovata nella copertura attorno alla divulgazione, riporta una compromissione nel mondo reale, una vittima o dati sottratti. Quella di Oasis è una dimostrazione da laboratorio e il write-up descrive la capacità dell'attaccante anziché un attacco osservato. Ciò è coerente con il fatto che l'archivio non registri alcun danno reale, ed è il qualificatore più importante della storia: questo è un record di vulnerabilità, non un rapporto di violazione.

Due etichette in circolazione sono errate, ed è facile ereditare l'errore in entrambi i casi. Diversi articoli di secondo livello attribuiscono CVE-2026-25253 a ClawJacked. La scheda NVD per quell'identificativo descrive un bug diverso nello stesso prodotto: OpenClaw precedente alla versione 2026.1.29 che preleva un gatewayUrl da una query string e vi si connette senza chiedere conferma, inviando al contempo un token; un furto di token con un solo clic, con un punteggio CVSS di 8.8, pubblicato il 1° febbraio 2026 e corretto il 29 gennaio. Questa è la vulnerabilità di gennaio, con un meccanismo diverso e una patch diversa. L'identificativo di ClawJacked è CVE-2026-32025. Infosecurity Magazine, dal canto suo, ha descritto ClawJacked come un'iniezione di prompt indiretta; la catena documentata da Oasis non prevede alcun prompt né alcuna decisione del modello — è un bypass dell'autenticazione che termina in una sessione di operatore.

Cosa è cambiato in seguito

OpenClaw ha corretto la vulnerabilità, pubblicato l'avviso e riconosciuto il merito al segnalatore, e la CVE è stata assegnata entro una settimana dal resoconto pubblico. Le raccomandazioni di Oasis alle organizzazioni vanno oltre la patch: inventariare quali agenti e assistenti sono in esecuzione sulle macchine degli sviluppatori, aggiornare ogni istanza, verificare quali credenziali e capacità detiene ciascuno e revocare quelle non in uso, e governare gli agenti come identità non umane con controlli sull'intento, applicazione delle policy, accesso just-in-time e una traccia di audit che va dall'umano all'agente all'azione. L'azienda vende software in quest'ultima categoria, cosa che vale la pena sapere quando si valuta l'ultima raccomandazione rispetto alle prime tre.

Il contesto più ampio è che ClawJacked era uno degli avvisi in una valanga. Il database degli avvisi di GitHub contiene una grande serie di avvisi OpenClaw datati 3 marzo 2026 — lo stesso giorno in cui fu pubblicato quello di ClawJacked — che coprono bug separati di autenticazione, pairing, path traversal e sandbox escape nelle versioni dalla 2026.2.19 alla 2026.2.26. Lo schema che il record di ClawJacked conserva è più circoscritto di "gli agenti AI sono insicuri" e più utile: il gateway considerava il loopback un confine di fiducia, e il browser rendeva falsa questa ipotesi. Qualunque servizio locale che esenti 127.0.0.1 dalla limitazione di frequenza, e qualunque flusso di pairing dei dispositivi che approvi automaticamente i chiamanti locali, eredita la stessa struttura, che ci sia o meno un modello AI dietro. In questo caso il modello non è mai stato il componente vulnerabile: lo era il livello di autenticazione attorno a esso.