OpenClawの露出したコントロールパネル：15,200台のホストがリモートコード実行の標識を付けられた

SecurityScorecardのSTRIKE脅威インテリジェンスチームは2026年2月初旬に1日をかけて公開インターネット上でOpenClawのコントロールパネルをスキャンし、2月9日に、82か国で応答した42,900個の固有IPアドレスを発見し、そのうち15,200件がリモートコード実行に対して脆弱である可能性があると報告した。Cyber Security Newsはこの調査結果を、記録が示す日付である2026年2月10日に報じた。これらのパネルは、所有者のファイルアクセス権限で動作する自己ホスト型AIエージェントのゲートウェイコンソールであるため、同じ調査によれば、侵害されたインスタンスはSSH鍵、クラウド認証情報、およびライブのブラウザセッションを引き渡してしまう。本稿のために読んだ資料には、被害者名も、確認された大規模乗っ取りも出てこない。完全な記録は、重大度と信頼度の評価とともに、Orca AI Incident Archiveに、同じ月の他のOpenClawの項目と並んで収められています。

この数字が注意深く読む価値を持つのは、それが見出しの数字ではないからだ。15,200という数字はSTRIKEが悪用可能と判断した部分集合であり、同チームが露見を確認した母集団全体ではない。同じチームは総数を42,900件のユニークIPアドレスと見積もっており、チーム自身のライブダッシュボードdeclawed.ioはなおもカウントを続けていた。

スキャンが何を数えたのか、そしてその数字が一致しない理由

STRIKEの手法は、ログイン試行ではなくフィンガープリンティングだった。チームは、OpenClawが3つのブランディング時代にわたって提供するfaviconファイルを照合し、TLS証明書のコモンネーム、逆引きDNS、証明書透明性ログを相互参照し、SecurityScorecard自身の侵害データと脅威アクターのデータも取り込んだ。公表された進展は、状況がどれほど速く動いたかを測る有用な指標になっている。タイトルベースの検索では24,034件のインスタンスが見つかり、faviconフィンガープリンティングで40,214件が確認され、そのうち23,505件で稼働中のコントロールパネルインターフェースが確認された（SecurityScorecard、2026年2月9日）。

見出しの集計値は、レポートのエグゼクティブサマリーに示されているとおりです。82カ国にまたがる42.9KのユニークIPアドレス、RCEに対して脆弱とフラグ付けされた15.2Kのインスタンス（レポートでは、観測されたデプロイメントの35.4%と表現）、既知のCVEに関連する24K+のインスタンス、そして過去の侵害活動と相関があると主張される53.3Kのインスタンスです。最後の数値は、それが内包されるはずの42.9Kという合計よりも大きく、SecurityScorecardはこの投稿内でその不一致を説明していません。レポートはまた、集計値が15分ごとに更新されると述べており、つまりどの単一のスナップショットも流動的な標的であることを意味します。

同じ調査に対する2回目かつ独立した解釈が同日に発表されましたが、一致していません。Infosecurity Magazineは、28,663個の固有IPアドレスに関連する40,214件の露出インスタンス、RCEにより悪用可能な12,812件（同誌はこれを観測されたデプロイメントの63%としています）、過去の侵害活動と相関する549件、既知の脆弱性を持つ1,493件を報じています（Phil Muncaster、2026年2月9日）。この2つの報告は、侵害との相関について約100倍の隔たりがあり、実際に悪用可能なホスト数の推定値もほぼ2倍異なっています。両者が同じ分母で同じ母集団を記述しているはずがなく、どちらの情報源も使用した分母を明示していません。アーカイブ自身の数値である15,200は、これらの報告のうち最初のものに由来します。

エージェントのコントロールパネルはWebページではありません

ここで誤ってバインドされたポートが問題になるのは、その背後に何があるかです。OpenClawゲートウェイには、エージェントが行動するために使う認証情報、つまり~/.openclaw/credentialsの認証情報ディレクトリ、~/.ssh内のSSHキー、有効なセッションを持つブラウザプロファイル、そしてエージェントがやり取りに使うメッセージングアカウントが保持されています。SecurityScorecardのリストはさらに、攻撃者が永続化に利用し得るcronジョブやハートビートフックにまで及び、同社がエージェントのメモリコンテキストと呼ぶもの、すなわちエージェントがその所有者について知っているすべてにまで及んでいます。

その継承こそが実際の調査結果であり、報告書はそれを飾り気なくこう述べている。「エージェント型AIは新たな種類の脆弱性を生み出すものではない。それは古い脆弱性を受け継ぎ、その影響を増幅させる」。エージェントは脆弱性ではない。それは、ありふれた露出した管理パネルが今や帯びている権限なのだ。

デフォルトバインディングの主張と、それが言葉の印象より狭い範囲にとどまる点

SecurityScorecardの因果関係についての主張は率直だ。「初期設定のままでは、OpenClawは0.0.0.0:18789にバインドされる。つまり、公開インターネットを含むすべてのネットワークインターフェースで待ち受けるということだ。これほど強力なツールであれば、デフォルトは127.0.0.1（localhostのみ）であるべきだ。しかし、そうなってはいない。」

それはあるデプロイ経路には当てはまるが、別の経路には当てはまらず、その違いは自分が影響を受けるかどうかを判断する人にとって重要だ。プロジェクト自身の docker-compose.yml のタグ v2026.1.29 では、ゲートウェイコンテナは --bind ${OPENCLAW_GATEWAY_BIND:-lan} フラグ付きで起動され、これは LAN アドレスをデフォルトとし、同じファイルがホスト上のポート 18789 をアドレスプレフィックスなしで公開しているため、すべてのホストインターフェースにバインドされる。ネイティブのコマンドラインゲートウェイは異なる。同じタグの src/cli/gateway-cli/run.ts では、フラグも設定もない場合に bind 値が「loopback」にフォールバックし、プロセスは共有シークレットなしで非ループバックアドレスで起動することを拒否する。explain-openclaw リポジトリで公開されたコミュニティのコードレビューも同じ区別をしており、「すぐに使える」という表現が compose のデフォルトとネイティブ CLI のデフォルトを混同していると論じている。

これは、スキャンが見つけた露出を縮小するものではない。プロジェクト自身の compose ファイルからクラウドホストへデプロイされたコンテナは、まさにファビコンスキャンが反応する形のデプロイであり、レポートが過半数と数える名前変更前の古いビルドは、現在のどちらのデフォルトよりも寛容だった可能性が十分にある。それが意味するのは、運用者にとって実務上の問いは、OpenClaw が本質的に公開向けかどうかではなく、その2つの経路のどちらを使ったかだということである。

3件のCVE、1回のパッチリリース、そして誰が数えるかによって変わるスコア

STRIKEが挙げている3つの脆弱性はすべてバージョン2026.1.29で修正されており、そのGitHubリリースのタイムスタンプは2026年1月30日05:26 UTCです。CVE-2026-25253はgatewayUrlパラメータを介したワンクリックRCEで、NVDの記録では8.8と評価されており、これはMITREが提供したスコアです。CVE-2026-24763はPATH操作によるDockerサンドボックス脱出で、こちらも8.8であり、GitHubのアドバイザリによって評価されています。CVE-2026-25157はmacOSアプリにおけるSSHコマンドインジェクションです。

3つ目のスコアは、流布している数値が食い違うところだ。SecurityScorecardの投稿とCyber Security Newsの報道はいずれも7.8としている。2026年11月5日時点で読むと、NVDの記録には、この問題のCNAを務めるGitHubアドバイザリ由来の7.7と、primary scorerとしてのNIST由来の7.5が載っている。スコアは近いが同じ数値ではなく、業界報道とともに流布している7.8は、現在のNVDエントリのどちらにもない数値だ。

CVE-2026-25253のある特性は、緩和策の助言を変えるため、独立した一文で触れる価値がある。SecurityScorecardは、このトークン窃取の連鎖が「インスタンスがlocalhostにバインドされていても」成立すると指摘している。127.0.0.1へのバインドは、スキャンが測定した直接アクセスの経路を塞ぐ。だが、その窃取経路は塞がない。

修正リリースは一連のCVEパッチだけではありませんでした。そのリリースノートには、破壊的変更として、ゲートウェイの認証モード「none」が削除され、ゲートウェイがトークンまたはパスワードを要求するようになったこと、さらにゲートウェイが認証なしで公開されている場合にdoctor警告が出ることが記録されています。まだ自身をClawdbotやMoltbotと呼ぶほど古いビルドは、そのすべてより前に作られたものです。

78%はブランド表記であり、バージョン文字列ではありません

CVE が広く未修正であるという記録の主張は、代理指標に依拠している。STRIKE は 23,505 個のアクティブなパネルを、それらが提供していたタイトル別に分けた。Clawdbot Control が 9,280 個（39.5%）、Moltbot Control が 9,048 個（38.5%）、OpenClaw Control が 5,177 個（22.0%）である。そこから報告書は、露出しているインスタンスの 78% が「重大なセキュリティパッチより前の名称を持つ古いバージョンを実行してきた」と結論づけ、次の文で「示唆する」という言葉を付け加えている。

それは妥当な推論ではあるが、依然として推論にすぎない。パネルのタイトルはビルドが自身について書き込む文字列であり、レポートはバージョンのヒストグラムを公開していない。デプロイは最新のタイトルを表示していても、数か月遅れていることがあり、レポート自身も、OpenClaw ブランディング上の22%は「依然として古いビルドである可能性がある」と述べて認めている。最も露出しているデプロイの大半は古いという調査結果の方向性は、パッチレベルの全数調査ではなく、エコシステムの形によって裏付けられている。

脅威アクターの系列と、それに付随する但し書き

これは記録のうち、文脈から切り離して引用される可能性が最も高い部分であるため、一次資料が正確に何を述べているのかを明示しておく価値がある。STRIKEは、一部のインスタンスIPが、以前に名前を挙げられたグループに帰属されたインフラと相関しており、Kimsuky、APT28、Salt Typhoon、Sandworm、APT41を挙げていると記している。続いてその意味を定義する。すなわち、そのIPアドレスまたはそのホスティング基盤が、当該グループの活動に関連して以前に観測されたということであり、「Kimsukyにリンクされた」インスタンスとは、そのホスティングが脅威インテリジェンスフィードでフラグ付けされたものを指す。そして、要約が落としている一文を加える。「これはインテリジェンス上のシグナルであり、直接的な運用の証明ではない。」

この割合は、別の分母を持つ別個の測定値である。SecurityScorecardは、エンリッチされたインスタンスの約33.8%が侵害相関を示すと述べており、これをホスティング組織が過去のデータ侵害記録に登場したことと定義している。それはホストのセキュリティ履歴についての記述であり、APTがパネルを運用していることについての記述ではない。Cyber Security Newsの報道はそれを「露出したインフラの約33.8%が既知の脅威アクターの活動と相関している」と表現しており、アーカイブの要約もその枠組みを多少変えた版を載せている。一次情報源と照らし合わせて読むと、33.8%はエンリッチされた部分集合における侵害相関であり、脅威アクターとの相関は名前の明示されない、より小さい量であって、ベンダーはそれを証拠として扱うことを明示的に拒否している。

実際に害を受けたのは何だったのか

アーカイブはこの記録を、実害を伴うインシデントであり、深刻度が高く、信頼度Aと評価している。引用された情報源が文書化しているのは、犠牲者数ではなく露出である。すなわち、オープンなインターネットから到達可能な稼働中のエージェント、認証なしのパネルの背後に置かれた認証情報、そして運用者がすでに侵害データに現れているホストの大きな割合だ。SecurityScorecardもInfosecurity Magazineも、被害者、身代金、持ち出されたデータセット、露出したパネルに追溯できる確認済みの乗っ取りを一件も挙げていない。記録されている害は、大規模に測定された継続的な機会と、エンリッチされたホストの3分の1がすでに他所で侵害されていたというベンダー自身の相関関係である。

その区別は読み終えた後も保たれるべきだ。これほどの規模のエクスポージャー所見は、そのエクスポージャーが利用されたことの証拠ではなく、ここで参照した情報源も、利用されたとは主張していない。

研究者たちがオペレーターに何をするよう指示したか

SecurityScorecardの是正リストは具体的で、主にデフォルト設定を元に戻すことを求めている。v2026.2.1以降へパッチを適用する（これは3件のCVEを修正したリリースより後のバージョンである）。gateway.bindを「127.0.0.1」に設定する。開いたポートではなく、Tailscale、WireGuard、Cloudflare Tunnel、またはngrok経由でパネルにアクセスする。エージェントに保存されているすべてのトークンとAPIキーはすでに侵害されたものとして扱い、ローテーションする。openclaw security audit deepを実行する。フレームワークをrootで実行しない。さらにセキュリティチームは、境界でポート18789をブロックし、内部ワークステーションからのコマンド・アンド・コントロール型の外向きトラフィックを監視する。

そのうち2つは見落とされやすいため、強調する価値があります。認証情報のローテーションは、侵害の証拠を条件としていません。なぜなら、鍵を露呈させたはずのパネルは、それらの鍵を認証するのと同じパネルだからです。また、パッチ適用の下限は{{1}}2026.1.29{{/1}}ではありません。3つのCVEが修正されたのはそのバージョンですが、{{2}}STRIKE{{/2}}自身の推奨は2026.2.1以降だからです。

研究者たちはカウンターも公開した。declawed.io の declawed ダッシュボードでは、露出件数、インスタンスごとの CVE ステータス、侵害との相関が提示され、15 分ごとに更新される。これは、これほど速く動いている数値を見出しではなくトレンドとして読む唯一の方法だ。

確立済み、報告済み、未解決

複数の情報源で裏付けが取れる部分は次のとおりです。OpenClawのゲートウェイは、そのエージェントが動作する際に用いる認証情報を保持している。プロジェクトのv2026.1.29のdocker-composeファイルは、すべてのホストインターフェース上でポート18789を公開し、デフォルトでLANバインドを許可する。2026年1月30日にリリースされたv2026.1.29では、名前付きの3件のCVEが修正された。また、大規模なインターネット全体のスキャンで数万の露出したパネルが見つかり、この数字についてSecurityScorecardとInfosecurity Magazineの両方が、一部の集計単位では4万以上としている。

ベンダーが報告したもので、独立して再現されていない部分は次のとおりです。42.9Kと15.2Kの件数、82か国にまたがる分布、53.3Kという侵害相関の数値、33.8%というエンリッチされた侵害率、そして78%というパッチ適用前の推論です。Infosecurity Magazineによる異なる数値群は、同じ調査の第二の読み取りであり、独立した測定ではなく、第三者がスキャンを再実行したこともありません。

未解決のままなのは、公表された各件数がどの分母を用いたのか、ベンダー自身のサマリーで侵害相関の合計がIPの合計を上回るのはなぜか、APT相関のアドレスがOpenClawを利用する運用者を反映しているのか、それともたまたまOpenClawをホストしているインフラを反映しているのか、そして露出したパネルが実際に乗っ取られたのかどうかだ。本記事のために読んだ資料はこれらのいずれにも答えておらず、記録もそう主張してはいない。