Eksponowane panele sterowania OpenClaw: 15 200 hostów oznaczonych jako podatne na zdalne wykonanie kodu

Zespół ds. analizy zagrożeń STRIKE firmy SecurityScorecard spędził dzień na skanowaniu publicznego internetu w poszukiwaniu paneli sterowania OpenClaw na początku lutego 2026 r. i 9 lutego 2026 r. poinformował, że znalazł 42 900 unikalnych adresów IP odpowiadających w 82 krajach, z których 15 200 wydawało się podatnych na zdalne wykonanie kodu. Cyber Security News opublikował te ustalenia 10 lutego 2026 r., czyli w dacie wskazanej w zapisie. Panele te są konsolą bramy samodzielnie hostowanego agenta AI, który działa z dostępem do plików swojego właściciela, dlatego te same badania mówią, że przejęta instancja przekazuje klucze SSH, dane uwierzytelniające do chmury i aktywne sesje przeglądarki. W źródłach czytanych na potrzeby tego artykułu nie pojawia się żadna nazwana ofiara ani potwierdzone masowe przejęcie. Pełny zapis wraz z ocenami ważności i pewności znajduje się w Orca AI Incident Archive, obok pozostałych wpisów OpenClaw z tego samego miesiąca.

To, co sprawia, że ta liczba zasługuje na uważne czytanie, to fakt, że nie jest to liczba z nagłówka. Wartość 15 200 to podzbiór, który STRIKE uznał za możliwy do wykorzystania, a nie populacja, którą zespół wykrył jako ujawnioną. Ten sam zespół podał, że łączna liczba to 42 900 unikalnych adresów IP, a jego własny panel na żywo, declawed.io, wciąż liczył.

Co zliczył skan i dlaczego jego liczby się nie zgadzają

Metoda STRIKE polegała na fingerprintingu, a nie na próbach logowania. Zespół zestawił pliki favicon serwowane przez OpenClaw w trzech erach brandingu, skrzyżował je z nazwami common name certyfikatów TLS, odwrotnym DNS i logami przejrzystości certyfikatów, a także włączył własne dane SecurityScorecard dotyczące naruszeń i aktorów zagrożeń. Opublikowany przez zespół przebieg jest użytecznym wskaźnikiem tego, jak szybko zmieniał się obraz sytuacji: wyszukiwanie na podstawie tytułu znalazło 24 034 wystąpienia, fingerprinting favicon potwierdził 40 214, a 23 505 z nich pokazywało aktywny interfejs panelu sterowania (SecurityScorecard, 9 lutego 2026).

Liczby w nagłówku są takie, jak podaje podsumowanie zarządcze raportu: 42,9 tys. unikalnych adresów IP w 82 krajach, 15,2 tys. instancji oznaczonych jako podatne na RCE, co raport przedstawia jako 35,4% zaobserwowanych wdrożeń, ponad 24 tys. instancji powiązanych ze znanymi CVE oraz 53,3 tys. instancji, które według raportu korelują z wcześniejszą aktywnością związaną z naruszeniami. Ta ostatnia liczba jest większa niż suma 42,9 tys., w której miała się zawierać, a SecurityScorecard nie wyjaśnia tej rozbieżności we wpisie. Raport podaje też, że liczby odświeżają się co 15 minut, co oznacza, że każdy pojedynczy zrzut jest jedynie chwilowym stanem.

Drugi, niezależny odczyt tych samych badań ukazał się tego samego dnia i nie zgadza się z nim. Infosecurity Magazine podał 40 214 ujawnionych instancji powiązanych z 28 663 unikalnymi adresami IP, 12 812 podatnych na wykorzystanie przez RCE, co według niego stanowiło 63% zaobserwowanych wdrożeń, 549 instancji skorelowanych z wcześniejszą aktywnością związaną z naruszeniami oraz 1 493 ze znanymi lukami w zabezpieczeniach (Phil Muncaster, 9 lutego 2026). Oba przekazy różnią się niemal stukrotnie w korelacji z naruszeniami, a ich szacunki liczby hostów faktycznie podatnych na wykorzystanie różnią się niemal dwukrotnie. Nie mogą oba opisywać tej samej populacji z tym samym mianownikiem, a żadne źródło nie podaje, jakiego mianownika użyło. Własna liczba archiwum, 15 200, pochodzi z pierwszego z tych przekazów.

Panel sterowania agenta nie jest stroną internetową

Powód, dla którego błędnie przypisany port ma tu znaczenie, tkwi w tym, co się za nim kryje. Brama OpenClaw przechowuje poświadczenia, których agent używa do działania: katalog poświadczeń w ~/.openclaw/credentials, klucze SSH w ~/.ssh, profile przeglądarki z aktywnymi sesjami oraz konta komunikatorów, za pośrednictwem których agent się komunikuje. Lista SecurityScorecard ciągnie się dalej — do zadań cron i hooków heartbeat, których atakujący mógłby użyć do utrzymania trwałości, oraz do tego, co nazywa kontekstem pamięci agenta: wszystkiego, co agent wie o swoim właścicielu.

To dziedziczenie jest właściwym ustaleniem, a raport stwierdza to bez upiększeń: „Agentic AI nie tworzy nowych klas podatności. Dziedziczy stare i wzmacnia ich wpływ”. Agent nie jest podatnością. Jest przywilejem, który teraz niesie ze sobą zwykły odsłonięty panel administracyjny.

Teza o domyślnym wiązaniu i gdzie jest węższa, niż brzmi

Twierdzenie SecurityScorecard o związku przyczynowym jest bez ogródek: „Po wyjęciu z pudełka OpenClaw wiąże się z 0.0.0.0:18789, co oznacza, że nasłuchuje na wszystkich interfejsach sieciowych, w tym w publicznym internecie. W przypadku narzędzia o takiej mocy domyślnym ustawieniem powinno być 127.0.0.1 (tylko localhost). Tak nie jest”.

To jest prawdą w przypadku jednej ścieżki wdrożenia, a nie innej, a różnica ma znaczenie dla każdego, kto próbuje ustalić, czy go to dotyczy. W należącym do projektu pliku docker-compose.yml w tagu v2026.1.29 kontener bramy jest uruchamiany z flagą --bind ${OPENCLAW_GATEWAY_BIND:-lan}, która domyślnie wskazuje adres LAN, a ten sam plik publikuje port 18789 na hoście bez prefiksu adresu, co wiąże go ze wszystkimi interfejsami hosta. Natywna brama wiersza poleceń działa inaczej: w src/cli/gateway-cli/run.ts w tym samym tagu wartość powiązania domyślnie przyjmuje "loopback", gdy nie ma ani flagi, ani ustawienia konfiguracji, a proces odmawia uruchomienia na adresie innym niż loopback bez współdzielonego sekretu. Przegląd kodu społeczności opublikowany w repozytorium explain-openclaw dokonuje tego samego rozróżnienia, argumentując, że sformułowanie „out of the box” myli domyślne ustawienie Compose z domyślnym ustawieniem natywnego CLI.

To nie zmniejsza ekspozycji, którą wykrył skan. Kontener wdrożony z własnego pliku compose projektu na hosta w chmurze to dokładnie ten rodzaj wdrożenia, który skan favicon by wychwycił, a starsze kompilacje sprzed zmiany nazwy, które raport uznaje za większość, mogły być bardziej permisywne niż którekolwiek z obecnych ustawień domyślnych. To jednak oznacza, że praktycznym pytaniem dla operatora jest, której z tych dwóch ścieżek użył, a nie czy OpenClaw jest z natury publicznie dostępny.

Trzy CVE, jedno wydanie poprawkowe i wynik, który zależy od tego, kto liczy

Trzy luki w zabezpieczeniach, które wymienia STRIKE, zostały naprawione w wersji 2026.1.29, której wydanie na GitHubie ma znacznik czasu 05:26 UTC 30 stycznia 2026 r. CVE-2026-25253 to jednoklikowe RCE przez parametr gatewayUrl, ocenione na 8,8 w rekordzie NVD, przy czym ocenę dostarczyła MITRE. CVE-2026-24763 to ucieczka z piaskownicy Dockera przez manipulację PATH, również 8,8, oceniona w biuletynie doradczym GitHuba. CVE-2026-25157 to wstrzyknięcie poleceń SSH w aplikacji na macOS.

Trzecia ocena to miejsce, w którym krążące liczby się rozchodzą. Wpis SecurityScorecard i raport Cyber Security News podają ją jako 7.8. Według odczytu z 5 listopada 2026 r. rekord NVD zawiera 7.7 z poradnika GitHub, który pełni funkcję CNA dla tego problemu, oraz 7.5 od NIST jako głównego oceniającego. Oceny są bliskie, ale nie są tą samą liczbą, a 7.8, które towarzyszy relacjom branżowym, nie jest tym z żadnego z obecnych wpisów NVD.

Jedna właściwość CVE-2026-25253 zasługuje na osobne zdanie, ponieważ zmienia zalecenia dotyczące mitygacji: SecurityScorecard zauważa, że łańcuch kradzieży tokena działa „nawet jeśli instancja jest powiązana z localhost”. Powiązanie z 127.0.0.1 zamyka bezpośrednią trasę dostępu zmierzoną przez skan. Nie zamyka jednak tej jednej.

Wydanie naprawcze nie było tylko zestawem poprawek CVE. W jego notatkach odnotowano zmianę łamiącą kompatybilność: tryb uwierzytelniania bramy „none” został usunięty, a brama wymaga teraz tokena lub hasła, wraz z ostrzeżeniem doctor, gdy brama jest wystawiona bez uwierzytelniania. Kompilacja wystarczająco stara, by wciąż nazywać się Clawdbot lub Moltbot, poprzedza to wszystko.

78% to oznaczenie marki, a nie ciąg wersji

Twierdzenie zawarte w tym zapisie, że luki CVE są powszechnie niezałatane, opiera się na wskaźniku pośrednim. STRIKE podzielił 23 505 aktywnych paneli według tytułu, jaki udostępniały: Clawdbot Control 9 280 (39,5%), Moltbot Control 9 048 (38,5%) i OpenClaw Control 5 177 (22,0%). Na tej podstawie raport wnioskuje, że 78% eksponowanych instancji „uruchamiało starsze wersje, których nazwy poprzedzają krytyczne poprawki bezpieczeństwa”, i dodaje słowo „sugeruje” w następnym zdaniu.

To rozsądne wnioskowanie, ale wciąż tylko wnioskowanie. Tytuł panelu to ciąg znaków, który dana kompilacja zapisuje o sobie samej, a raport nie publikuje histogramu wersji. Wdrożenie może wyświetlać bieżący tytuł i wciąż być wiele miesięcy za aktualną wersją, co sam raport przyznaje, gdy stwierdza, że 22% w przypadku brandingu OpenClaw „może nadal dotyczyć nieaktualnych kompilacji”. Kierunek tego ustalenia — że większość eksponowanych wdrożeń jest stara — potwierdza kształt ekosystemu, a nie spis na poziomie poprawek.

Wątek dotyczący aktora zagrożenia i towarzyszące mu zastrzeżenie

To część zapisu, która najłatwiej może zostać zacytowana poza kontekstem, dlatego warto dokładnie przedstawić, co mówi źródło pierwotne. STRIKE pisze, że niektóre adresy IP instancji korelują z infrastrukturą wcześniej przypisywaną wymienionym z nazwy grupom, wymieniając Kimsuky, APT28, Salt Typhoon, Sandworm i APT41. Następnie definiuje, co to oznacza: adres IP lub powiązana z nim infrastruktura hostingowa były wcześniej obserwowane w związku z działaniami tej grupy, zatem instancja „powiązana z Kimsuky” to taka, której hosting został oznaczony w źródłach threat intelligence. Dodaje też zdanie, które podsumowania pomijają: „To sygnał wywiadowczy, a nie dowód bezpośredniego działania”.

Ten odsetek jest odrębnym pomiarem z odrębnym mianownikiem. SecurityScorecard podaje, że około 33,8% wzbogaconych instancji wykazuje korelację z naruszeniami, co definiuje jako pojawienie się organizacji hostingowej we wcześniejszych rejestrach naruszeń danych. To stwierdzenie dotyczy historii bezpieczeństwa hosta, a nie tego, że APT obsługuje panel. W raporcie Cyber Security News przedstawiono to jako „około 33,8% eksponowanej infrastruktury koreluje z działalnością znanych aktorów zagrożeń”, a podsumowanie archiwum zawiera wersję tego ujęcia. W zestawieniu ze źródłem pierwotnym 33,8% to korelacja z naruszeniami wśród wzbogaconego podzbioru, natomiast korelacja z aktorami zagrożeń to bliżej nieokreślona, mniejsza wartość, której dostawca wyraźnie odmawia traktowania jako dowodu.

Co tak naprawdę zostało skrzywdzone?

Archiwum ocenia ten rekord jako incydent z rzeczywistą szkodą, wysokim poziomem dotkliwości i pewnością A. To, co dokumentują cytowane źródła, to ekspozycja, a nie liczba ofiar: aktywne agenty dostępne z otwartego internetu, dane uwierzytelniające pozostawione za nieuwierzytelnionym panelem oraz duży odsetek hostów, których operatorzy już pojawili się w danych o naruszeniach. Ani SecurityScorecard, ani Infosecurity Magazine nie wskazują ofiary, okupu, wykradzionego zbioru danych ani pojedynczego potwierdzonego przejęcia powiązanego z eksponowanym panelem. Zarejestrowana szkoda to utrzymująca się możliwość wykorzystania, mierzona na dużą skalę, plus własna korelacja dostawcy, że jedna trzecia wzbogaconych hostów została już skompromitowana gdzie indziej.

To rozróżnienie powinno przetrwać lekturę. Ustalenie dotyczące ekspozycji tej skali nie jest dowodem na to, że ekspozycje zostały wykorzystane, a źródła czytane w tym miejscu nie twierdzą, że tak było.

Co badacze kazali zrobić operatorom

Lista zaleceń naprawczych SecurityScorecard jest konkretna i w większości dotyczy cofnięcia ustawień domyślnych: załataj do wersji v2026.2.1 lub nowszej, która jest późniejsza niż wydanie naprawiające trzy CVE; ustaw gateway.bind na „127.0.0.1”; łącz się z panelem przez Tailscale, WireGuard, Cloudflare Tunnel lub ngrok, a nie przez otwarty port; rotuj każdy token i klucz API przechowywany w agencie, traktując je jako już skompromitowane; uruchom openclaw security audit deep; nigdy nie uruchamiaj frameworka jako root; a zespołom ds. bezpieczeństwa zaleca się zablokowanie portu 18789 na obwodzie sieci i obserwowanie ruchu wychodzącego z wewnętrznych stacji roboczych o wzorcach charakterystycznych dla command-and-control.

Dwie z nich zasługują na podkreślenie, ponieważ łatwo je pominąć. Rotacja poświadczeń nie jest uzależniona od dowodów na naruszenie, ponieważ panel, który ujawniłby klucze, to ten sam panel, który je uwierzytelnia. A minimalna wersja łatki to nie 2026.1.29, mimo że właśnie tam naprawiono trzy CVE, ponieważ rekomendacja samego STRIKE to 2026.2.1 lub nowsza.

Badacze opublikowali także swój licznik. Panel declawed pod adresem declawed.io prezentuje liczby ekspozycji, status CVE dla poszczególnych instancji oraz korelację z naruszeniami, odświeżany co 15 minut — to jedyny sposób, by tak szybko zmieniające się liczby odczytać jako trend, a nie jako nagłówek.

Ustalony, zgłoszony, nierozwiązany

To, co potwierdza się w różnych źródłach: brama OpenClaw przechowuje poświadczenia, którymi posługuje się jej agent; plik docker-compose projektu w wersji v2026.1.29 publikuje port 18789 na wszystkich interfejsach hosta i domyślnie zezwala na powiązanie z siecią LAN; trzy nazwane CVE naprawiono w wersji v2026.1.29 wydanej 30 stycznia 2026 r.; a duże skanowanie całego internetu wykryło dziesiątki tysięcy eksponowanych paneli — liczbę, którą zarówno SecurityScorecard, jak i Infosecurity Magazine podają jako równą lub wyższą niż 40 000 w pewnej jednostce.

Części zgłoszone przez dostawcę i nieodtworzone niezależnie: liczby 42,9 tys. i 15,2 tys., zasięg obejmujący 82 kraje, wartość 53,3 tys. dotycząca korelacji naruszeń, wzbogacony wskaźnik naruszeń na poziomie 33,8% oraz wnioskowanie przed poprawką na poziomie 78%. Inny zestaw liczb w Infosecurity Magazine to drugi odczyt tych samych badań, a nie niezależny pomiar, i żadna strona trzecia nie powtórzyła skanowania.

Pytania, które pozostają otwarte: jakiego mianownika użyto przy każdej z opublikowanych liczb, dlaczego suma powiązań z naruszeniami przekracza sumę adresów IP w podsumowaniu samego dostawcy, czy adresy powiązane z APT odzwierciedlają operatorów używających OpenClaw, czy infrastrukturę, która przypadkiem go hostuje, oraz czy jakikolwiek ujawniony panel został faktycznie przejęty. Źródła czytane do tego tekstu nie odpowiadają na żadne z tych pytań, a materiał nie twierdzi, że to robią.