Painéis de controle expostos do OpenClaw: 15.200 hosts sinalizados para execução remota de código

A equipe de inteligência de ameaças STRIKE da SecurityScorecard passou um dia escaneando a internet pública em busca de painéis de controle do OpenClaw no início de fevereiro de 2026 e relatou em 9 de fevereiro que havia encontrado 42.900 endereços IP exclusivos respondendo em 82 países, dos quais 15.200 pareciam vulneráveis à execução remota de código. O Cyber Security News publicou as descobertas em 10 de fevereiro de 2026, data que consta no registro. Os painéis são o console de gateway de um agente de IA auto-hospedado que é executado com acesso aos arquivos do proprietário, portanto a mesma pesquisa afirma que uma instância comprometida entrega chaves SSH, credenciais de nuvem e sessões de navegador ativas. Nenhuma vítima nomeada e nenhuma tomada de controle em massa confirmada aparecem nas fontes consultadas para este artigo. O registro completo, com suas classificações de gravidade e confiança, está no Orca AI Incident Archive, ao lado dos outros registros do OpenClaw do mesmo mês.

O que torna o número digno de uma leitura atenta é que ele não é o número da manchete. O valor de 15.200 é o subconjunto que a STRIKE julgou explorável, não a população que ela encontrou exposta. A mesma equipe estimou o total em 42.900 endereços IP únicos, e seu próprio painel ao vivo, declawed.io, ainda estava contando.

O que a varredura contou, e por que seus números não coincidem

O método do STRIKE foi o fingerprinting, e não tentativas de login. A equipe correlacionou os arquivos de favicon que o OpenClaw serve em suas três eras de marca, fez referência cruzada aos nomes comuns dos certificados TLS, ao DNS reverso e aos logs de transparência de certificados, e incorporou os próprios dados de violações e de atores de ameaça da SecurityScorecard. Sua progressão publicada é uma medida útil da rapidez com que o quadro mudou: uma busca por título encontrou 24.034 instâncias, o fingerprinting de favicon confirmou 40.214, e 23.505 delas mostravam uma interface de painel de controle ativa (SecurityScorecard, 9 de fevereiro de 2026).

As contagens de manchete são as que o resumo executivo do relatório apresenta: 42,9 mil endereços IP exclusivos em 82 países, 15,2 mil instâncias sinalizadas como vulneráveis a RCE, o que o relatório expressa como 35,4% das implantações observadas, mais de 24 mil instâncias associadas a CVEs conhecidas e 53,3 mil instâncias supostamente correlacionadas com atividade de violação anterior. Esse último número é maior que o total de 42,9 mil no qual deveria estar contido, e a SecurityScorecard não explica a discrepância na publicação. O relatório também afirma que as contagens são atualizadas a cada 15 minutos, o que significa que qualquer instantâneo isolado é um alvo móvel.

Uma segunda leitura independente da mesma pesquisa surgiu no mesmo dia e não corresponde. A Infosecurity Magazine relatou 40.214 instâncias expostas associadas a 28.663 endereços IP exclusivos, 12.812 exploráveis via RCE, o que ela considerou 63% das implantações observadas, 549 instâncias correlacionadas com atividade de violação anterior e 1.493 com vulnerabilidades conhecidas (Phil Muncaster, 9 de fevereiro de 2026). Os dois relatos divergem por um fator de quase cem quanto à correlação com violações, e suas estimativas de quantos hosts são de fato exploráveis diferem em quase duas vezes. Eles não podem estar ambos descrevendo a mesma população com o mesmo denominador, e nenhuma das fontes declara qual denominador usou. O próprio número do arquivo, 15.200, vem do primeiro desses relatos.

O painel de controle de um agente não é uma página web.

O motivo de uma porta com vinculação incorreta importar aqui é o que está por trás dela. Um gateway do OpenClaw armazena as credenciais que o agente usa para agir: o diretório de credenciais em ~/.openclaw/credentials, chaves SSH em ~/.ssh, perfis de navegador com sessões ativas e as contas de mensagens pelas quais o agente se comunica. A lista da SecurityScorecard continua com tarefas cron e hooks de heartbeat que um atacante poderia usar para persistência, e com o que ela chama de contexto de memória do agente, tudo o que o agente sabe sobre seu proprietário.

Essa herança é a descoberta real, e o relatório a afirma sem rodeios: “A IA agêntica não cria novas classes de vulnerabilidade. Ela herda as antigas e amplifica seu impacto.” O agente não é a vulnerabilidade. É o privilégio que um painel administrativo exposto comum agora carrega.

A alegação de vinculação padrão, e onde ela é mais restrita do que parece

A alegação causal da SecurityScorecard é contundente: "De fábrica, o OpenClaw vincula-se a 0.0.0.0:18789, o que significa que ele escuta em todas as interfaces de rede, incluindo a internet pública. Para uma ferramenta tão poderosa, o padrão deveria ser 127.0.0.1 (somente localhost). Não é."

Isso é verdade para um caminho de implantação e não para outro, e a diferença importa para qualquer pessoa que esteja decidindo se é afetada. No docker-compose.yml do próprio projeto na tag v2026.1.29, o contêiner do gateway é iniciado com a flag --bind ${OPENCLAW_GATEWAY_BIND:-lan}, que usa como padrão o endereço da LAN, e o mesmo arquivo publica a porta 18789 no host sem prefixo de endereço, o que a vincula a todas as interfaces do host. O gateway nativo de linha de comando é diferente: em src/cli/gateway-cli/run.ts na mesma tag, o valor de bind recorre a "loopback" quando nem uma flag nem uma configuração estão presentes, e o processo se recusa a iniciar em um endereço não-loopback sem um segredo compartilhado. Uma revisão de código da comunidade publicada no repositório explain-openclaw faz a mesma distinção, argumentando que a formulação "pronta para uso" confunde o padrão do compose com o padrão da CLI nativa.

Isso não reduz a exposição que a verificação encontrou. Um contêiner implantado a partir do próprio arquivo compose do projeto em um host na nuvem é exatamente o tipo de implantação que uma verificação de favicon detectaria, e as versões anteriores à renomeação que o relatório conta como maioria podem muito bem ter sido mais permissivas do que qualquer um dos padrões atuais. Isso significa que a questão prática para um operador é qual desses dois caminhos ele usou, e não se o OpenClaw é inerentemente exposto publicamente.

Três CVEs, uma versão de correção e uma pontuação que depende de quem está contando

As três vulnerabilidades citadas pela STRIKE foram todas corrigidas na versão 2026.1.29, cujo lançamento no GitHub tem carimbo de data/hora de 05:26 UTC em 30 de janeiro de 2026. A CVE-2026-25253 é a RCE de um clique por meio de um parâmetro gatewayUrl, pontuada em 8,8 no registro do NVD, uma pontuação fornecida pela MITRE. A CVE-2026-24763 é a fuga do sandbox do Docker via manipulação de PATH, também 8,8, pontuada pelo advisory do GitHub. A CVE-2026-25157 é a injeção de comando SSH no aplicativo macOS.

A terceira pontuação é onde os números em circulação divergem. O post da SecurityScorecard e o relatório do Cyber Security News ambos a apresentam como 7,8. Consultado em 5 de novembro de 2026, o registro do NVD traz 7,7 do aviso do GitHub que serve como CNA para o problema, e 7,5 do NIST como pontuador principal. As pontuações são próximas, mas não são o mesmo número, e o 7,8 que acompanha a cobertura do setor não é o que consta em qualquer uma das entradas atuais do NVD.

Uma propriedade da CVE-2026-25253 merece uma frase própria, porque muda a orientação de mitigação: a SecurityScorecard observa que a cadeia de roubo de token funciona "mesmo que a instância esteja vinculada ao localhost". Vincular a 127.0.0.1 fecha a rota de acesso direto que a verificação mediu. Ela não fecha essa.

A versão de correção não foi apenas um conjunto de patches de CVE. Suas notas registram uma mudança incompatível: o modo de autenticação do gateway "none" foi removido e o gateway agora exige um token ou uma senha, além de um aviso do doctor quando o gateway está exposto sem autenticação. Uma build antiga o suficiente para ainda se chamar Clawdbot ou Moltbot é anterior a tudo isso.

78% é um rótulo de marca, não uma string de versão

A alegação do registro de que as CVEs permanecem amplamente sem correção baseia-se em um indicador indireto. A STRIKE dividiu os 23.505 painéis ativos pelo título que exibiam: Clawdbot Control 9.280 (39,5%), Moltbot Control 9.048 (38,5%) e OpenClaw Control 5.177 (22,0%). A partir disso, o relatório conclui que 78% das instâncias expostas "executaram versões mais antigas, com nomes anteriores aos patches de segurança críticos", e acrescenta a palavra "sugere" na frase seguinte.

É uma inferência razoável e continua sendo uma inferência. O título do painel é uma string que o build escreve sobre si mesmo, e o relatório não publica um histograma de versões. Uma implantação pode exibir o título atual e ainda assim estar meses atrasada, o que o próprio relatório admite ao afirmar que os 22% no branding OpenClaw “podem ainda ser builds desatualizados”. A direção do achado, de que a maioria das implantações expostas é antiga, é corroborada pela forma do ecossistema, e não por um censo em nível de patch.

A linha do ator de ameaça, e a ressalva a ela associada

Esta é a parte do registro com maior probabilidade de ser citada fora de contexto, por isso vale a pena expor exatamente o que diz a fonte primária. A STRIKE escreve que alguns IPs de instância se correlacionam com infraestrutura anteriormente atribuída a grupos nomeados, listando Kimsuky, APT28, Salt Typhoon, Sandworm e APT41. Em seguida, define o que isso significa: o endereço IP ou sua infraestrutura de hospedagem foi anteriormente observado em conexão com as operações desse grupo, portanto, uma instância "vinculada ao Kimsuky" é aquela cuja hospedagem foi sinalizada em feeds de inteligência de ameaças. E acrescenta a frase que os resumos omitem: "Este é um sinal de inteligência, não uma prova de operação direta."

A porcentagem é uma medição separada, com um denominador separado. A SecurityScorecard afirma que aproximadamente 33,8% das instâncias enriquecidas apresentam correlação com violações de dados, o que ela define como a organização de hospedagem ter aparecido em registros anteriores de violações de dados. Trata-se de uma afirmação sobre o histórico de segurança do host, não sobre um APT que opera o painel. O relatório do Cyber Security News apresenta isso como “aproximadamente 33,8% da infraestrutura exposta se correlaciona com atividade conhecida de atores de ameaça”, e o resumo do arquivo traz uma versão desse enquadramento. Lido em confronto com a fonte primária, os 33,8% correspondem à correlação com violações de dados dentro de um subconjunto enriquecido, e a correlação com atores de ameaça é uma quantidade menor e não nomeada que o fornecedor se recusa explicitamente a tratar como prova.

O que foi realmente prejudicado

O arquivo classifica este registro como um incidente com dano real, alta gravidade e confiança A. O que as fontes citadas documentam é exposição, e não um número de vítimas: agentes ativos acessíveis a partir da internet aberta, credenciais armazenadas atrás de um painel não autenticado e uma grande parcela de hosts cujos operadores já apareceram em dados de violação. Nem a SecurityScorecard nem a Infosecurity Magazine nomeiam uma vítima, um resgate, um conjunto de dados levado ou uma única tomada de controle confirmada rastreada até um painel exposto. O dano registrado é a oportunidade persistente, medida em escala, além da própria correlação do fornecedor de que um terço dos hosts enriquecidos já havia sido comprometido em outro lugar.

Essa distinção deve sobreviver à leitura. Um achado de exposição desse porte não é evidência de que as exposições tenham sido usadas, e as fontes consultadas aqui não afirmam que tenham sido.

O que os pesquisadores disseram aos operadores para fazer

A lista de remediação da SecurityScorecard é específica e trata, em grande parte, de reverter o padrão: aplicar patch para a v2026.2.1 ou posterior, que é mais recente do que a versão que corrigiu as três CVEs; definir gateway.bind como "127.0.0.1"; acessar o painel por meio de Tailscale, WireGuard, Cloudflare Tunnel ou ngrok em vez de uma porta aberta; rotacionar todos os tokens e chaves de API armazenados no agente, tratando-os como já comprometidos; executar openclaw security audit deep; nunca executar o framework como root; e, para as equipes de segurança, bloquear a porta 18789 no perímetro e monitorar tráfego de saída com características de comando e controle proveniente de estações de trabalho internas.

Dois deles merecem ênfase porque são fáceis de ignorar. A rotação de credenciais não está condicionada à evidência de comprometimento, porque o painel que teria exposto as chaves é o mesmo painel que as autentica. E o nível mínimo de patches não é 2026.1.29, embora seja onde as três CVEs foram corrigidas, porque a recomendação da própria STRIKE é 2026.2.1 ou posterior.

Os pesquisadores também publicaram seu contador. O painel declawed em declawed.io apresenta as contagens de exposição, o status de CVE por instância e a correlação de violações, atualizados a cada 15 minutos, que é a única maneira de ler números que se moviam tão rápido como tendência, e não como manchete.

Estabelecido, reportado, não resolvido

Os pontos que se confirmam entre as fontes: o gateway do OpenClaw guarda as credenciais com as quais seu agente atua; o arquivo docker-compose do projeto na v2026.1.29 publica a porta 18789 em todas as interfaces do host e aceita uma vinculação à LAN por padrão; três CVEs nomeadas foram corrigidas na v2026.1.29, lançada em 30 de janeiro de 2026; e uma grande varredura em toda a internet encontrou dezenas de milhares de painéis expostos, número que tanto a SecurityScorecard quanto a Infosecurity Magazine situam em 40.000 ou mais em alguma unidade.

As partes relatadas pelo fornecedor e não reproduzidas de forma independente: as contagens de 42,9K e 15,2K, a distribuição em 82 países, o número de 53,3K de correlação com violações, a taxa de 33,8% de violações enriquecidas e a inferência de 78% antes da correção. O conjunto diferente de números da Infosecurity Magazine é uma segunda leitura da mesma pesquisa, não uma medição independente, e nenhum terceiro refez a varredura.

As questões que permanecem em aberto: qual denominador cada contagem publicada utilizou, por que o total de correlação de violações excede o total de IPs no próprio resumo do fornecedor, se os endereços correlacionados a APT refletem operadores que usam o OpenClaw ou infraestrutura que por acaso o hospeda, e se algum painel exposto foi de fato tomado. As fontes consultadas para este artigo não respondem a nenhuma dessas questões, e o registro não afirma que o façam.