OpenClaw's blootgestelde bedieningspanelen: 15.200 hosts gemarkeerd voor uitvoering van code op afstand

Het STRIKE-dreigingsinformatieteam van SecurityScorecard heeft begin februari 2026 een dag lang het openbare internet gescand op OpenClaw-beheerpanelen en meldde op 9 februari dat het 42.900 unieke IP-adressen had gevonden die in 82 landen antwoordden, waarvan er 15.200 kwetsbaar leken te zijn voor remote code execution. Cyber Security News bracht de bevindingen op 10 februari 2026, de datum die het record vermeldt. De panelen vormen de gatewayconsole van een zelfgehoste AI-agent die draait met de bestandstoegang van de eigenaar, dus stelt hetzelfde onderzoek dat een gecompromitteerde instantie SSH-sleutels, cloudreferenties en live browsersessies prijsgeeft. In de bronnen die voor dit artikel zijn gelezen, komt geen genoemd slachtoffer en geen bevestigde massale overname voor. Het volledige record, met de bijbehorende ernst- en betrouwbaarheidsgraden, staat in de Orca AI Incident Archive, naast de andere OpenClaw-vermeldingen uit dezelfde maand.

Wat het getal de moeite waard maakt om zorgvuldig te lezen, is dat het niet het getal uit de kop is. Het cijfer van 15.200 is de subset die STRIKE als exploiteerbaar beoordeelde, niet de populatie die het blootgesteld aantrof. Hetzelfde team stelde het totaal op 42.900 unieke IP-adressen, en zijn eigen live dashboard, declawed.io, telde nog steeds.

Wat de scan telde, en waarom de cijfers ervan niet overeenkomen

STRIKE's methode was fingerprinting in plaats van loginpogingen. Het team koppelde de favicon-bestanden die OpenClaw serveert over zijn drie brandingtijdperken, kruisverwees TLS-certificaat common names, reverse DNS en certificate-transparencylogs, en haalde SecurityScorecard's eigen breach- en threat-actor-data erbij. De gepubliceerde progressie is een nuttige maatstaf voor hoe snel het beeld veranderde: een op titel gebaseerde zoekopdracht vond 24.034 instanties, favicon-fingerprinting bevestigde 40.214, en 23.505 daarvan vertoonden een actieve beheerpaneelinterface (SecurityScorecard, 9 februari 2026).

De kopcijfers zijn wat de managementsamenvatting van het rapport geeft: 42,9K unieke IP-adressen in 82 landen, 15,2K instanties gemarkeerd als kwetsbaar voor RCE, wat het rapport uitdrukt als 35,4% van de waargenomen implementaties, 24K+ instanties geassocieerd met bekende CVE's, en 53,3K instanties waarvan wordt beweerd dat ze correleren met eerdere inbreukactiviteit. Dat laatste cijfer is groter dan het totaal van 42,9K waar het binnen zou moeten vallen, en SecurityScorecard legt de discrepantie in het bericht niet uit. Het rapport zegt ook dat de tellingen elke 15 minuten worden vernieuwd, wat betekent dat elke afzonderlijke momentopname een bewegend doelwit is.

Een tweede, onafhankelijke interpretatie van hetzelfde onderzoek verscheen dezelfde dag en komt niet overeen. Infosecurity Magazine meldde 40.214 blootgestelde instanties die verband houden met 28.663 unieke IP-adressen, waarvan 12.812 exploiteerbaar via RCE, wat het artikel stelde op 63% van de waargenomen implementaties, 549 instanties gecorreleerd met eerdere inbreukactiviteit, en 1.493 met bekende kwetsbaarheden (Phil Muncaster, 9 februari 2026). De twee verslagen verschillen bijna een factor honderd van elkaar wat betreft inbreukcorrelatie, en hun schattingen van het aantal hosts dat daadwerkelijk exploiteerbaar is, verschillen bijna een factor twee. Ze kunnen niet allebei dezelfde populatie met dezelfde noemer beschrijven, en geen van beide bronnen vermeldt welke noemer is gebruikt. Het eigen cijfer van het archief, 15.200, is afkomstig uit het eerste van deze verslagen.

Het bedieningspaneel van een agent is geen webpagina

De reden dat een verkeerd gebonden poort hier belangrijk is, is wat erachter zit. Een OpenClaw-gateway bevat de inloggegevens die de agent gebruikt om te handelen: de map met inloggegevens op ~/.openclaw/credentials, SSH-sleutels in ~/.ssh, browserprofielen met actieve sessies, en de berichtenaccounts waarmee de agent communiceert. De lijst van SecurityScorecard gaat verder met cronjobs en heartbeat-hooks die een aanvaller voor persistentie zou kunnen gebruiken, en met wat het de geheugencontext van de agent noemt: alles wat de agent over zijn eigenaar weet.

Die erfenis is de eigenlijke bevinding, en het rapport stelt het zonder opsmuk: "Agentic AI creëert geen nieuwe klassen van kwetsbaarheden. Het erft oude en versterkt de impact ervan." De agent is niet de kwetsbaarheid. Het is het privilege dat een gewoon blootgesteld beheerderspaneel nu met zich meebrengt.

De standaard bindende claim, en waar die beperkter is dan hij klinkt

De causale claim van SecurityScorecard is kortaf: "Uit de doos bindt OpenClaw aan 0.0.0.0:18789, wat betekent dat het op alle netwerkinterfaces luistert, inclusief het openbare internet. Voor een tool zo krachtig als deze zou de standaard 127.0.0.1 moeten zijn (alleen localhost). Dat is het niet."

Dat geldt voor het ene implementatiepad en niet voor het andere, en het verschil is van belang voor iedereen die wil bepalen of diegene erdoor wordt getroffen. In het eigen docker-compose.yml van het project bij tag v2026.1.29 wordt de gateway-container gestart met de flag --bind ${OPENCLAW_GATEWAY_BIND:-lan}, die standaard naar het LAN-adres verwijst, en hetzelfde bestand publiceert poort 18789 op de host zonder adresprefix, waardoor deze aan elke hostinterface wordt gebonden. De native command-line gateway is anders: in src/cli/gateway-cli/run.ts bij dezelfde tag valt de bind-waarde terug op "loopback" wanneer noch een flag noch een configuratie-instelling aanwezig is, en het proces weigert te starten op een niet-loopbackadres zonder een gedeeld geheim. Een communitycode-review gepubliceerd in de explain-openclaw-repository maakt hetzelfde onderscheid en stelt dat de formulering "out of the box" de compose-standaard verwart met de native CLI-standaard.

Dit verkleint de blootstelling die de scan heeft gevonden niet. Een container die vanuit het eigen compose-bestand van het project op een cloudhost wordt uitgerold, is precies de vorm van implementatie die een favicon-scan zou doen oplichten, en de oudere builds van vóór de naamswijziging die het rapport als de meerderheid telt, waren mogelijk soepeler dan elk van beide huidige standaardinstellingen. Het betekent wel dat de praktische vraag voor een operator is welk van die twee paden zij hebben gebruikt, niet of OpenClaw inherent publiek toegankelijk is.

Drie CVE's, één patchrelease, en een score die ervan afhangt wie er meetelt

De drie kwetsbaarheden die STRIKE aanhaalt, zijn allemaal verholpen in versie 2026.1.29, waarvan de GitHub-release een tijdstempel heeft van 05:26 UTC op 30 januari 2026. CVE-2026-25253 is de RCE met één klik via een gatewayUrl-parameter, met een score van 8.8 in het NVD-record, een score die MITRE heeft toegekend. CVE-2026-24763 is de Docker-sandboxescape via PATH-manipulatie, ook 8.8, gescoord door GitHub's advisory. CVE-2026-25157 is de SSH-commandinjectie in de macOS-app.

De derde score is waar de circulerende cijfers uiteenlopen. De post van SecurityScorecard en het rapport van Cyber Security News geven beide 7.8. Bij uitlezing op 5 november 2026 vermeldt het NVD-record 7.7 van de GitHub-advisory die als CNA voor het issue fungeert, en 7.5 van NIST als primaire scorer. De scores liggen dicht bij elkaar, maar het zijn niet hetzelfde getal, en de 7.8 die met de vakberichtgeving meegaat, staat in geen van beide huidige NVD-vermeldingen.

Eén eigenschap van CVE-2026-25253 verdient een eigen zin, omdat die het mitigatieadvies verandert: SecurityScorecard merkt op dat de token-diefstal-keten werkt "zelfs als de instantie aan localhost is gebonden." Binding aan 127.0.0.1 sluit de directe toegangsroute die de scan heeft gemeten. Die ene sluit het niet.

De fix-release was niet alleen een set CVE-patches. De releaseopmerkingen vermelden een breaking change: de gateway-authmodus "none" is verwijderd en de gateway vereist nu een token of wachtwoord, plus een doctor-waarschuwing wanneer de gateway zonder auth wordt blootgesteld. Een build die zo oud is dat hij zichzelf nog Clawdbot of Moltbot noemt, dateert van vóór dat alles.

78% is een merklabel, geen versiestring

De bewering in het verslag dat de CVE's op grote schaal ongepatcht zijn, berust op een proxy. STRIKE verdeelde de 23.505 actieve panelen op basis van de titel die ze serveerden: Clawdbot Control 9.280 (39,5%), Moltbot Control 9.048 (38,5%) en OpenClaw Control 5.177 (22,0%). Daaruit concludeert het rapport dat 78% van de blootgestelde instanties "oudere versies heeft gedraaid met namen die dateren van vóór kritieke beveiligingspatches", en in de volgende zin voegt het het woord "suggests" toe.

Het is een redelijke gevolgtrekking en het blijft een gevolgtrekking. De paneltitel is een string die de build over zichzelf schrijft, en het rapport publiceert geen versiehistogram. Een deployment kan de huidige titel serveren en toch maanden achterlopen, wat het rapport zelf toegeeft wanneer het zegt dat de 22% met OpenClaw-branding "mogelijk nog verouderde builds zijn". De richting van de bevinding, dat de meeste blootgestelde deployments oud zijn, wordt ondersteund door de vorm van het ecosysteem in plaats van door een census op patchniveau.

De regel over de dreigingsactor, en het voorbehoud dat eraan verbonden is.

Dit is het deel van het verslag dat het meest waarschijnlijk uit zijn verband wordt geciteerd, dus het is de moeite waard om precies uiteen te zetten wat de primaire bron zegt. STRIKE schrijft dat sommige IP's van instances correleren met infrastructuur die eerder aan genoemde groepen werd toegeschreven, met een opsomming van Kimsuky, APT28, Salt Typhoon, Sandworm en APT41. Vervolgens definieert het wat dat betekent: het IP-adres of de hostinginfrastructuur ervan werd eerder waargenomen in verband met de activiteiten van die groep, dus een instance die "aan Kimsuky is gekoppeld" is er een waarvan de hosting is gemarkeerd in threat-intelligencefeeds. En het voegt de zin toe die de samenvattingen weglaten: "Dit is een inlichtingensignaal, geen bewijs van directe operatie."

Het percentage is een afzonderlijke meting met een afzonderlijke noemer. SecurityScorecard zegt dat ongeveer 33,8% van de verrijkte instanties datalekcorrelatie vertoont, wat het definieert als dat de hostende organisatie eerder in datalekregistraties is verschenen. Dat is een uitspraak over de beveiligingsgeschiedenis van de host, niet over een APT die het paneel beheert. Het rapport van Cyber Security News geeft het weer als "ongeveer 33,8% van de blootgestelde infrastructuur correleert met bekende activiteit van dreigingsactoren," en de samenvatting van het archief bevat een versie van die framing. Gelezen tegen de primaire bron is de 33,8% datalekcorrelatie binnen een verrijkte subset, en de dreigingsactorcorrelatie is een niet nader genoemde, kleinere hoeveelheid die de leverancier expliciet niet als bewijs wil behandelen.

Wat was er eigenlijk beschadigd?

Het archief beoordeelt dit record als een incident met echte schade, hoge ernst en betrouwbaarheid A. Wat de aangehaalde bronnen documenteren is blootstelling, niet een slachtofferaantal: actieve agents die vanaf het open internet bereikbaar zijn, inloggegevens achter een niet-geauthenticeerd paneel, en een groot deel van de hosts waarvan de beheerders al in lekdata zijn verschenen. Noch SecurityScorecard noch Infosecurity Magazine noemt een slachtoffer, een losgeld, een ontvreemde dataset of één bevestigde overname die terug te voeren is op een blootgesteld paneel. De vastgelegde schade is de blijvende mogelijkheid, op schaal gemeten, plus de eigen correlatie van de leverancier dat een derde van de verrijkte hosts al elders was gecompromitteerd.

Dat onderscheid moet bij het lezen behouden blijven. Een blootstellingsbevinding van deze omvang is geen bewijs dat de blootstellingen zijn gebruikt, en de hier gelezen bronnen beweren dat niet.

Wat de onderzoekers de operators vertelden te doen

De herstel lijst van SecurityScorecard is specifiek en gaat vooral over het ongedaan maken van de standaardinstelling: patch naar v2026.2.1 of later, wat later is dan de release die de drie CVE's verhielp; stel gateway.bind in op "127.0.0.1"; bereik het paneel via Tailscale, WireGuard, Cloudflare Tunnel of ngrok in plaats van een open poort; roteer elk token en elke API-sleutel die in de agent is opgeslagen en behandel ze als al gecompromitteerd; voer openclaw security audit deep uit; voer het framework nooit als root uit; en blokkeer voor securityteams poort 18789 aan de perimeter en let op uitgaand verkeer dat op command-and-control lijkt vanaf interne werkstations.

Twee daarvan verdienen nadruk, omdat ze gemakkelijk overgeslagen worden. De rotatie van inloggegevens is niet afhankelijk van bewijs van compromittering, omdat het paneel dat de sleutels zou hebben blootgelegd hetzelfde paneel is dat ze authenticeert. En de minimale patchversie is niet 2026.1.29, ook al zijn daar de drie CVE's opgelost, omdat STRIKE's eigen aanbeveling 2026.2.1 of later is.

De onderzoekers publiceerden ook hun teller. Het declawed-dashboard op declawed.io toont de blootstellingsaantallen, de CVE-status per instance en de correlatie met datalekken, elke 15 minuten vernieuwd, wat de enige manier is om cijfers die zo snel veranderden als een trend te lezen in plaats van als een krantenkop.

Vastgesteld, gemeld, onopgelost

De onderdelen die in alle bronnen standhouden: OpenClaw's gateway bevat de inloggegevens waarmee zijn agent handelt; het docker-compose-bestand van het project op v2026.1.29 publiceert poort 18789 op alle hostinterfaces en staat standaard een LAN-binding toe; drie genoemde CVE's zijn verholpen in v2026.1.29, uitgebracht op 30 januari 2026; en een grote internetbrede scan vond tienduizenden blootgestelde panels, een aantal dat zowel SecurityScorecard als Infosecurity Magazine in sommige eenheden op of boven 40.000 stelt.

De onderdelen die door de leverancier zijn gerapporteerd en niet onafhankelijk zijn gereproduceerd: de aantallen van 42,9K en 15,2K, de verspreiding over 82 landen, het correlatiecijfer van 53,3K met datalekken, het verrijkte datalekpercentage van 33,8% en de pre-patch-inferentie van 78%. De andere cijfers van Infosecurity Magazine zijn een tweede lezing van hetzelfde onderzoek, geen onafhankelijke meting, en geen enkele derde partij heeft de scan opnieuw uitgevoerd.

De punten die openblijven: welke noemer elke gepubliceerde telling gebruikte, waarom het totaal van de breach-correlatie het IP-totaal overschrijdt in de eigen samenvatting van de leverancier, of de APT-gecorreleerde adressen wijzen op operators die OpenClaw gebruiken of op infrastructuur die het toevallig host, en of een blootgesteld paneel daadwerkelijk is overgenomen. De bronnen die voor dit stuk zijn gelezen beantwoorden geen van deze vragen, en het verslag beweert dat ook niet.