ClawJacked: elke website zou een lokale OpenClaw-agent kunnen brute-forcen

ClawJacked, een kwetsbaarheid die Oasis Security op 26 februari 2026 bekendmaakte in de opensource-AI-agent OpenClaw, stelde elke website die een ontwikkelaar bezocht in staat om een verbinding te openen naar de agent die op diens eigen machine draaide en het wachtwoord ervan te raden totdat de agent de controle overdroeg. Er was geen klik, geen plug-in en geen prompt nodig. De buit was de gateway die de agent orkestreert: een indringer die binnenkwam kon rechtstreeks met de agent praten, de configuratie ervan dumpen, alle gekoppelde apparaten opsommen en de logboeken ervan lezen. Oasis, een leverancier van software voor agentisch toegangsbeheer, demonstreerde de keten van begin tot eind in zijn eigen lab en meldde dit vertrouwelijk, en OpenClaw bracht binnen 24 uur een fix uit. Geen enkele in dit artikel aangehaalde bron vermeldt dat de aanval tegen een echte gebruiker is gebruikt. Het archief registreert de episode als een infrastructuurincident met hoge ernst, gedateerd op 25 februari 2026 met dagprecisie en zonder geregistreerde schade in de echte wereld, samen met de rest van zijn OpenClaw-vermeldingen in het Orca AI Incident Archive.

Drie standaardwaarden, één keten

OpenClaw is een zelfgehoste persoonlijke agent die gebruikers aansturen via een webdashboard of een terminal, en die verbinding maakt met messaging-apps, agenda's en ontwikkelaarstools en daarin handelt. In het centrum staat een gateway, een lokale WebSocket-server die Oasis omschrijft als "het brein van de operatie": deze regelt authenticatie, slaat configuratie op, beheert chatsessies en stuurt commando's naar nodes zoals een macOS-companion-app of een iPhone. Authenticatie gebeurt via een token of een wachtwoord, en de gateway bindt standaard aan localhost, op de expliciete aanname dat lokale toegang inherent vertrouwd is (Oasis Security, 26 februari 2026).

Drie onderling samenhangende gevolgen van die aanname. Ten eerste passen browsers cross-originregels niet toe op WebSocket-verbindingen zoals ze dat op gewone HTTP-verzoeken doen, zodat JavaScript op elke pagina die de gebruiker bezoekt een socket naar de lokale gateway-poort kan openen zonder dat er iets zichtbaar is op het scherm. Ten tweede zette de snelheidsbegrenzer van de gateway loopbackverbindingen volledig buiten beschouwing, zodat mislukte wachtwoordpogingen vanaf 127.0.0.1 niet werden geteld, afgeremd of gelogd. Ten derde keurde de gateway apparaatkoppelingen vanaf localhost automatisch goed, zodat een geauthenticeerd script zichzelf als vertrouwd apparaat kon registreren zonder de bevestigingsprompt die een extern apparaat zou oproepen.

Oasis heeft de raadsnelheid in zijn eigen lab gemeten en die in de openbaarmaking gerapporteerd: "In onze labtests haalden we een aanhoudende snelheid van honderden wachtwoordpogingen per seconde, uitsluitend met JavaScript in de browser. Met die snelheid is een lijst met veelvoorkomende wachtwoorden in minder dan een seconde uitgeput, en een groot woordenboek zou slechts enkele minuten kosten. Een door een mens gekozen wachtwoord maakt geen enkele kans." BleepingComputer, dat op 1 maart 2026 over de openbaarmaking berichtte, beschrijft dezelfde drie stappen en dezelfde volgorde.

Wat een aanvaller krijgt, en wat Oasis daadwerkelijk liet zien

Eenmaal geauthenticeerd hield het script een operatorsessie met bevoegdheden op adminniveau. Oasis noemt vier dingen die het dan direct kan doen: berichten naar de AI-agent sturen en de antwoorden ervan lezen, de gatewayconfiguratie dumpen, waaruit de gebruikte AI-providers, modellen en berichtkanalen blijken, elk verbonden knooppunt opsommen met het bijbehorende platform en IP-adres, en de applicatielogs lezen. Van daaruit beschrijft Oasis, in plaats van demonstreert, de escalatie: de agent opdracht geven de Slack-geschiedenis van de developer te doorzoeken op API-sleutels, privéberichten lezen, bestanden exfiltreren van gekoppelde apparaten, of willekeurige shellopdrachten uitvoeren op elk gekoppeld knooppunt. De samenvatting van het resultaat door het bedrijf is dat dit voor een developer met typische OpenClaw-integraties neerkomt op "volledige compromittering van het werkstation, geïnitieerd vanuit een browsertabblad".

De demonstratie die Oasis publiceerde, met een videoproof-of-concept, is beperkter dan die beschrijving: een browser op een ongerelateerde site raadde het gatewaywachtwoord, maakte met volledige machtigingen verbinding en wist met succes met de agent van de gebruiker te interacteren, zonder dat de gebruiker enige indicatie te zien kreeg. De bestandsexfiltratie en shell-uitvoering worden beschreven als wat de toegang mogelijk maakt, niet als stappen die de proof of concept heeft uitgevoerd. Dat onderscheid is van belang wanneer het verslag wordt gelezen als een daadwerkelijk plaatsgevonden incident in plaats van een gedemonstreerd incident.

De patch is in 2026.2.25 beland, niet in 2026.2.26

Oasis raadde lezers aan om bij te werken naar versie 2026.2.25 of later, en het eigen advies van OpenClaw bevestigt dit. Het GitHub-advies, GHSA-jmmg-jqc7-5qf4, vermeldt 2026.2.24 en lager als getroffen versies, 2026.2.25 en hoger als gepatchte versies, en schrijft het rapport toe aan @luz-oasis, de onderzoeksleider van Oasis, Elad Luz. De npm-registry-tijdstempel voor 2026.2.25 is 04:16 UTC op 26 februari 2026, en de releaseopmerkingen van het project voor die versie beschrijven de oplossing in bewoordingen die één-op-één aansluiten bij de drie standaardinstellingen: "Beveiliging/Gateway WebSocket-auth: leg origin-controles op voor directe browser-WebSocket-clients buiten Control UI/Webchat, pas throttling toe bij mislukte wachtwoordauthenticatie voor loopback-pogingen vanuit de browser (inclusief localhost), en blokkeer stille automatische pairing voor browserclients die niet Control UI zijn."

Twee van de nieuwsberichten noemen een ander nummer. BleepingComputer zegt dat de fix "is uitgebracht in versie 2026.2.26 op 26 februari", en SecurityAffairs herhaalt dat 2026.2.26 de release was die het probleem aanpakte, terwijl de eigen adviesparagraaf lezers oproept bij te werken naar 2026.2.25 of later. Infosecurity Magazine, dat op 2 maart 2026 over de openbaarmaking bericht, noemt 2026.2.25. Release 2026.2.26 bestaat wel, maar npm registreert die op 23:59 UTC op 26 februari, ongeveer twintig uur na 2026.2.25, en de releaseopmerkingen ervan vormen een aparte reeks hardeningmaatregelen. De fix waarnaar een lezer moet zoeken, is die in 2026.2.25.

De identifier kwam later. De GitHub-advisory werd op 3 maart 2026 gepubliceerd onder CVE-2026-32025, en NVD's registratie ervan werd op 19 maart 2026 gepubliceerd met een CVSS 3.1-basisscore van 7,5, door NVD als primaire scorer en door VulnCheck als secundaire scorer beoordeeld als hoog. De advisory zelf is zorgvuldiger dan de score: het eigen ernstveld ervan luidt matig, en de tekst ervan noemt de bug "ernstig, maar voorwaardelijk", met vermelding van vier voorwaarden — de gateway bereikbaar op loopback, wachtwoordauthenticatie in gebruik, het slachtoffer dat door de aanvaller beheerde webinhoud opent, en een wachtwoord dat binnen haalbare pogingen te raden is. Er wordt ook duidelijk gesteld wat de bug niet is: "Dit is op zichzelf geen met het internet verbonden RCE-klasseprobleem zonder authenticatie; het is een lokale auth-hardeningkloof met browser-origin en betekenisvolle impact onder de bovenstaande voorwaarden."

Waar de 42.665 vandaan komt, en waarom het geen ClawJacked-getal is

De samenvatting van het archief vermeldt dat 42.665 instanties op het moment van openbaarmaking blootgesteld waren, en merkt op dat SecurityScorecard een ander cijfer geeft: 40.214, waarvan 35,4% kwetsbaar was. Geen van de drie bronnen die voor dit record worden aangehaald, bevat een van beide cijfers — Oasis, BleepingComputer en SecurityAffairs beschrijven allemaal de kwetsbaarheid zonder een aantal geïnstalleerde exemplaren te vermelden. Beide cijfers komen ergens anders vandaan, en beide zijn gepubliceerd voordat ClawJacked bestond.

De 42.665 is een onafhankelijke scan. Maor Dayan, een beveiligingsonderzoeker die zijn bevindingen op Medium publiceerde, bouwde een scanner met de naam ClawdHunter v3.0 en liet die draaien over gegevens van Shodan en Censys die tussen 28 en 31 januari 2026 waren verzameld. Hij meldde “ten minste 42.665 instanties” van OpenClaw die publiekelijk op internet blootstonden, waarvan er 5.194 actief als kwetsbaar waren geverifieerd en 93,4% van die geverifieerde gevallen een omzeiling van authenticatie vertoonde. De 40.214 is het STRIKE-team van SecurityScorecard, dat in onderzoek gepubliceerd op 9 februari 2026 op internet blootgestelde OpenClaw-instanties telde en 15,2K daarvan markeerde als kwetsbaar voor uitvoering van externe code, met “35,4% van de waargenomen implementaties gemarkeerd als kwetsbaar”. De eigen samenvattingspunten van SecurityScorecard noemen 42,9K unieke IP-adressen waarop blootgestelde beheerpanelen worden gehost, naast de 40.214 bevestigde instanties in de hoofdtekst — twee verschillende metingen binnen één rapport.

Geen van beide getallen meet het bereik van ClawJacked, omdat beide instanties tellen die op een openbare interface antwoorden. De voorwaarde voor ClawJacked is de tegenovergestelde configuratie: een gateway die aan loopback is gebonden, in wachtwoordmodus, op een machine waarvan de gebruiker naar een vijandige pagina surft. Een server die in een internetbrede scan wordt geteld, kan achter zijn eigen authenticatie zitten en onaangetast blijven door deze bug, terwijl de laptop die nooit in zo'n scan voorkomt precies het doelwit is dat Oasis beschreef. De eigen formulering van het archief, "bij openbaarmaking", koppelt daarmee een populatieaantal uit januari aan een kwetsbaarheid uit februari. De tellingen zijn echte metingen van hoeveel OpenClaw was blootgesteld; ze zijn geen telling van de machines die ClawJacked had kunnen overnemen. Dit artikel beslecht geen geschil — het record is niet als betwist gemarkeerd — maar de herkomst van de twee cijfers is controleerbaar en ondersteunt de framing "bij openbaarmaking" niet.

Wat is vastgesteld, en wat niet

Vastgesteld: dat Oasis Security de keten heeft gevonden en in een lab heeft aangetoond; dat OpenClaws eigen beveiligingsadvies en releaseopmerkingen alle drie de gedragingen bevestigen — ontbrekende handhaving van de oorsprong voor WebSocket-clients in de browser, geen beperking van het aantal pogingen voor loopback-wachtwoorden, stille automatische koppeling — en dat 2026.2.25 elk daarvan heeft gewijzigd; dat de oplossing binnen een dag na de melding is uitgebracht; en dat drie publicaties buiten de eigen blog van de ontdekker erover hebben bericht. Het betrouwbaarheidscijfer A van het archief is in overeenstemming met dat verslag, en niets hier wordt door de betrokken partijen betwist.

Niet vastgesteld: dat iemand het heeft gebruikt. Hier wordt geen bron aangehaald, en in de berichtgeving rond de openbaarmaking is er geen gevonden die melding maakt van een compromittering in de praktijk, een slachtoffer of ontvreemde gegevens. Die van Oasis is een laboratoriumdemonstratie en de uiteenzetting beschrijft de capaciteiten van een aanvaller in plaats van een waargenomen aanval. Dat komt overeen met het feit dat het archief geen echte schade registreert, en het is de belangrijkste nuance bij dit verhaal: dit is een kwetsbaarheidsregistratie, geen melding van een datalek.

Twee in omloop zijnde labels zijn onjuist, en beide zijn makkelijk over te nemen. Verschillende secundaire artikelen koppelen CVE-2026-25253 aan ClawJacked. Het NVD-record voor die identificatie beschrijft een andere bug in hetzelfde product: OpenClaw vóór 2026.1.29 dat een gatewayUrl uit een query string overneemt en er zonder waarschuwing verbinding mee maakt terwijl het een token verstuurt, een token-diefstal met één klik met een CVSS-score van 8.8, gepubliceerd op 1 februari 2026 en verholpen op 29 januari. Dat is de kwetsbaarheid van januari, met een ander mechanisme en een andere patch. De identificatie van ClawJacked is CVE-2026-32025. Infosecurity Magazine beschreef ClawJacked ondertussen als een indirecte promptinjectie; de door Oasis gedocumenteerde keten omvat helemaal geen prompt en geen modelbeslissing — het is een authenticatiebypass die eindigt in een operatorsessie.

Wat is er daarna veranderd?

OpenClaw heeft het gepatcht, het beveiligingsadvies gepubliceerd en de melder gecrediteerd, en de CVE werd binnen een week na het openbare verslag toegekend. De aanbevelingen van Oasis aan organisaties gaan verder dan de patch: breng in kaart welke agents en assistenten op ontwikkelaarsmachines draaien, werk elk exemplaar bij, controleer welke inloggegevens en mogelijkheden elk ervan heeft en trek in wat niet in gebruik is, en bestuur agents als niet-menselijke identiteiten met intentiecontroles, handhaving van beleid, just-in-time-toegang en een audittrail van mens naar agent naar actie. Het bedrijf verkoopt software in die laatste categorie, wat goed is om te weten wanneer u de laatste aanbeveling afweegt tegen de eerste drie.

De bredere context is dat ClawJacked slechts één advies was in een stroom aan adviezen. De GitHub-adviesdatabase bevat een grote batch OpenClaw-adviezen gedateerd op 3 maart 2026 — dezelfde dag waarop dat van ClawJacked werd gepubliceerd — die afzonderlijke bugs in authenticatie, pairing, path-traversal en sandbox-escape bestrijken in versies 2026.2.19 tot en met 2026.2.26. Het patroon dat het ClawJacked-record bewaart, is specifieker dan "AI-agents zijn onveilig" en nuttiger: de gateway behandelde loopback als een vertrouwensgrens, en de browser maakte die aanname onjuist. Elke lokale dienst die 127.0.0.1 uitzondert van throttling, en elke apparaatkoppelingsflow die lokale aanroepers automatisch goedkeurt, erft dezelfde vorm, of er nu wel of geen AI-model achter zit. In dit geval was het model nooit de kwetsbare component — de authenticatielaag eromheen was dat wel.