Открытые панели управления OpenClaw: 15 200 хостов отмечены как уязвимые к удалённому выполнению кода

Команда киберразведки STRIKE компании SecurityScorecard потратила день на сканирование публичного интернета в поисках панелей управления OpenClaw в начале февраля 2026 года и 9 февраля сообщила, что обнаружила 42 900 уникальных IP-адресов, отвечавших в 82 странах, из которых 15 200 казались уязвимыми к удалённому выполнению кода. Cyber Security News опубликовала эти результаты 10 февраля 2026 года — дата, указанная в записи. Панели представляют собой консоль шлюза самостоятельно размещённого ИИ-агента, который работает с доступом к файлам владельца, поэтому то же исследование утверждает, что скомпрометированный экземпляр передаёт SSH-ключи, облачные учётные данные и активные сеансы браузера. В источниках, прочитанных для этой статьи, не упоминается ни одна названная жертва и не подтверждается массовый захват. Полная запись с оценками серьёзности и уверенности находится в Orca AI Incident Archive, рядом с другими записями об OpenClaw за тот же месяц.

Число заслуживает внимательного прочтения потому, что это не то число, что в заголовке. Цифра 15 200 — это подмножество, которое STRIKE сочла эксплуатируемым, а не вся совокупность, которую она обнаружила открытой. Та же команда оценила общее количество в 42 900 уникальных IP-адресов, и её собственная живая панель declawed.io всё ещё вела подсчёт.

Что подсчитало сканирование и почему его цифры не совпадают

Метод STRIKE заключался в фингерпринтинге, а не в попытках входа. Команда сопоставила файлы favicon, которые OpenClaw отдаёт в трёх эпохах своего брендинга, перекрёстно сверила общие имена TLS-сертификатов, обратный DNS и журналы прозрачности сертификатов, а также привлекла собственные данные SecurityScorecard об утечках и субъектах угроз. Опубликованная динамика — полезный показатель того, как быстро менялась картина: поиск по заголовкам нашёл 24 034 экземпляра, фингерпринтинг favicon подтвердил 40 214, и 23 505 из них показывали активный интерфейс панели управления (SecurityScorecard, 9 февраля 2026 г.).

Ключевые цифры приведены в резюме для руководства в отчёте: 42,9 тыс. уникальных IP-адресов в 82 странах, 15,2 тыс. экземпляров, отмеченных как уязвимые к RCE, что в отчёте выражено как 35,4% наблюдаемых развёртываний, более 24 тыс. экземпляров, связанных с известными CVE, и 53,3 тыс. экземпляров, которые, как утверждается, коррелируют с предшествующей активностью взломов. Последняя цифра больше общего показателя в 42,9 тыс., в который она должна входить, и SecurityScorecard не объясняет это расхождение в публикации. В отчёте также говорится, что показатели обновляются каждые 15 минут, а значит, любой отдельный снимок — это движущаяся цель.

Второй, независимый разбор того же исследования появился в тот же день и не совпадает с ним. Infosecurity Magazine сообщил о 40 214 открытых экземплярах, связанных с 28 663 уникальными IP-адресами, 12 812 из которых эксплуатируемы через RCE, что, по его оценке, составляет 63% наблюдаемых развертываний, 549 экземпляров коррелируют с предшествующей активностью утечек, а 1 493 — с известными уязвимостями (Фил Манкастер, 9 февраля 2026 г.). Два описания расходятся почти в сто раз по корреляции с утечками, а их оценки того, сколько хостов действительно эксплуатируемы, различаются почти вдвое. Они не могут оба описывать одну и ту же совокупность с одним и тем же знаменателем, и ни один источник не указывает, какой знаменатель он использовал. Собственная цифра архива — 15 200 — взята из первого из этих описаний.

Панель управления агента — не веб-страница.

Причина, по которой неправильно привязанный порт имеет здесь значение, — это то, что за ним стоит. Шлюз OpenClaw хранит учётные данные, которые агент использует для действий: каталог учётных данных в ~/.openclaw/credentials, SSH-ключи в ~/.ssh, профили браузера с активными сессиями и учётные записи мессенджеров, через которые агент общается. Список SecurityScorecard продолжается заданиями cron и хуками heartbeat, которые злоумышленник мог бы использовать для закрепления, а также тем, что он называет контекстом памяти агента, — всем, что агент знает о своём владельце.

Эта наследственность и есть настоящая находка, и отчёт заявляет об этом без прикрас: «Агентный ИИ не создаёт новых классов уязвимостей. Он наследует старые и усиливает их воздействие». Агент — не уязвимость. Это привилегия, которую теперь несёт обычная открытая админ-панель.

Утверждение о привязке по умолчанию — и в чём оно уже, чем звучит

Утверждение SecurityScorecard о причинно-следственной связи звучит прямолинейно: «Из коробки OpenClaw привязывается к 0.0.0.0:18789, то есть прослушивает все сетевые интерфейсы, включая публичный интернет. Для такого мощного инструмента значением по умолчанию должно быть 127.0.0.1 (только localhost). Но это не так».

Это верно для одного пути развёртывания и неверно для другого, и эта разница важна для всех, кто решает, затронуты ли они. В собственном docker-compose.yml проекта на теге v2026.1.29 контейнер шлюза запускается с флагом --bind ${OPENCLAW_GATEWAY_BIND:-lan}, который по умолчанию указывает на LAN-адрес, а тот же файл публикует порт 18789 на хосте без префикса адреса, что привязывает его ко всем интерфейсам хоста. Нативный шлюз командной строки отличается: в src/cli/gateway-cli/run.ts на том же теге значение привязки откатывается к "loopback", если не задан ни флаг, ни параметр конфигурации, и процесс отказывается запускаться на адресе, отличном от loopback, без общего секрета. Проверка кода сообществом, опубликованная в репозитории explain-openclaw, проводит то же различие, утверждая, что формулировка «из коробки» смешивает значение по умолчанию в compose со значением по умолчанию нативного CLI.

Это не уменьшает поверхность воздействия, обнаруженную сканированием. Контейнер, развёрнутый из собственного compose-файла проекта на облачном хосте, — это именно тот тип развёртывания, который обнаружит сканирование favicon, а более старые сборки до переименования, которые отчёт считает большинством, вполне могли быть более разрешающими, чем любой из текущих вариантов по умолчанию. Это означает, что практический вопрос для оператора — какой из этих двух путей он использовал, а не является ли OpenClaw по своей сути доступным извне.

Три CVE, один выпуск с исправлениями и оценка, которая зависит от того, кто считает

Три уязвимости, на которые ссылается STRIKE, были исправлены в версии 2026.1.29, релиз которой на GitHub имеет отметку времени 05:26 UTC 30 января 2026 года. CVE-2026-25253 — это RCE, эксплуатируемая в один клик через параметр gatewayUrl, оценённая в 8,8 балла в записи NVD; эту оценку предоставила MITRE. CVE-2026-24763 — это побег из песочницы Docker через манипуляцию PATH, также 8,8 балла, оценка выставлена в рекомендации GitHub. CVE-2026-25157 — это инъекция команд SSH в приложении для macOS.

Третья оценка — это место, где циркулирующие цифры расходятся. В публикации SecurityScorecard и в отчёте Cyber Security News она указана как 7.8. По состоянию на 5 ноября 2026 года запись NVD содержит 7.7 из рекомендации GitHub, которая выступает CNA для этой проблемы, и 7.5 от NIST как основного оценщика. Оценки близки, но это не одно и то же число, и 7.8, которая сопровождает отраслевое освещение, не совпадает ни с одной из текущих записей NVD.

Одно свойство CVE-2026-25253 заслуживает отдельного предложения, поскольку оно меняет рекомендации по устранению: SecurityScorecard отмечает, что цепочка кражи токена работает «даже если экземпляр привязан к localhost». Привязка к 127.0.0.1 закрывает маршрут прямого доступа, который измерялся в ходе сканирования. Но не закрывает этот.

Релиз с исправлениями был не просто набором патчей для CVE. В его примечаниях зафиксировано ломающее изменение: режим аутентификации шлюза «none» удалён, и теперь шлюз требует токен или пароль, а также предупреждение doctor, когда шлюз доступен без аутентификации. Сборка, достаточно старая, чтобы всё ещё называть себя Clawdbot или Moltbot, предшествует всему этому.

78% — это брендовый ярлык, а не строка версии

Утверждение из записи о том, что уязвимости CVE широко остаются неисправленными, опирается на косвенный показатель. STRIKE разделил 23 505 активных панелей по заголовку, который они отдавали: Clawdbot Control — 9 280 (39,5%), Moltbot Control — 9 048 (38,5%) и OpenClaw Control — 5 177 (22,0%). Из этого отчёт делает вывод, что 78% открытых экземпляров «работали на более старых версиях, названия которых появились раньше критических исправлений безопасности», и добавляет слово «предполагает» в следующем предложении.

Это разумный вывод, и всё же это вывод. Заголовок панели — это строка, которую сборка пишет о себе, а в отчёте не публикуется гистограмма версий. Развёртывание может отдавать текущий заголовок и при этом отставать на месяцы, что сам отчёт признаёт, когда говорит, что 22% на брендинге OpenClaw «могут быть устаревшими сборками». Направление вывода — что большинство открытых развёртываний являются старыми — подтверждается формой экосистемы, а не переписью на уровне патчей.

Формулировка о threat-actor и прилагаемая к ней оговорка

Это та часть записи, которую чаще всего могут вырвать из контекста, поэтому стоит точно изложить, что именно говорится в первоисточнике. STRIKE пишет, что некоторые IP-адреса экземпляров коррелируют с инфраструктурой, ранее приписывавшейся названным группам, перечисляя Kimsuky, APT28, Salt Typhoon, Sandworm и APT41. Затем он определяет, что это означает: IP-адрес или его хостинговая инфраструктура ранее наблюдались в связи с операциями этой группы, поэтому экземпляр, «связанный с Kimsuky», — это тот, чей хостинг был отмечен в лентах киберразведки. И он добавляет предложение, которое опускают в резюме: «Это разведывательный сигнал, а не доказательство непосредственного проведения операции».

Процентное значение — это отдельный показатель с отдельным знаменателем. SecurityScorecard сообщает, что примерно 33,8% обогащённых экземпляров демонстрируют корреляцию с утечками, что она определяет как наличие хостинговой организации в предыдущих записях об утечках данных. Это утверждение об истории безопасности хоста, а не об APT, управляющей панелью. В отчёте Cyber Security News это передаётся как «примерно 33,8% раскрытой инфраструктуры коррелирует с известной активностью субъектов угроз», а резюме архива содержит версию этой формулировки. При сопоставлении с первоисточником 33,8% — это корреляция с утечками в обогащённой подвыборке, а корреляция с субъектами угроз — это не названная, меньшая величина, которую поставщик явно отказывается считать доказательством.

Что на самом деле пострадало

Архив оценивает эту запись как инцидент с реальным ущербом, высокой степенью серьёзности и уровнем уверенности A. Цитируемые источники документируют скорее подверженность риску, чем число пострадавших: работающие агенты, доступные из открытого интернета, учётные данные за неаутентифицированной панелью и значительная доля хостов, операторы которых уже фигурировали в данных об утечках. Ни SecurityScorecard, ни Infosecurity Magazine не называют жертву, выкуп, похищенный набор данных или хотя бы один подтверждённый захват, связанный с открытой панелью. Зафиксированный ущерб — это сохраняющаяся возможность, измеренная в масштабе, плюс собственная корреляция поставщика о том, что треть обогащённых хостов уже была скомпрометирована в других местах.

Это различие должно сохраниться при чтении. Обнаружение утечки такого масштаба не является доказательством того, что эти утечки были использованы, и прочитанные здесь источники не утверждают, что они были использованы.

Что исследователи велели операторам делать

Список мер по устранению у SecurityScorecard конкретен и в основном касается отмены настроек по умолчанию: обновите систему до v2026.2.1 или более поздней версии, которая вышла после релиза, исправившего три CVE; установите для gateway.bind значение "127.0.0.1"; получайте доступ к панели через Tailscale, WireGuard, Cloudflare Tunnel или ngrok, а не через открытый порт; проведите ротацию всех токенов и API-ключей, хранящихся в агенте, считая их уже скомпрометированными; выполните openclaw security audit deep; никогда не запускайте фреймворк от имени root; а командам по безопасности следует блокировать порт 18789 на периметре и следить за исходящим трафиком с внутренних рабочих станций, напоминающим трафик C2.

Два из них заслуживают особого внимания, поскольку их легко пропустить. Ротация учётных данных не обусловлена наличием доказательств компрометации, поскольку панель, которая раскрыла бы ключи, — это та же панель, которая их аутентифицирует. И минимальная версия патча — не 2026.1.29, хотя именно в ней были исправлены три CVE, поскольку собственная рекомендация STRIKE — 2026.2.1 или более поздняя.

Исследователи также опубликовали свой счётчик. Дашборд declawed на declawed.io показывает количество暴露? Wait need Russian. Let's craft: "Исследователи также опубликовали свой счётчик. Дашборд declawed на declawed.io отображает количество случаев раскрытия, статус CVE по каждому экземпляру и корреляцию с утечками; данные обновляются каждые 15 минут — это единственный способ увидеть эти быстро меняющиеся цифры как тенденцию, а не как заголовок." Need "exposure counts" maybe "число подверженных экземпляров" not "случаев раскрытия". Exposure in security = exposed instances. "exposure counts" counts of exposures. Russian "количество暴露" no. "количество открытых экземпляров"? Better "число暴露" no. "количество уязвимых экземпляров" maybe exposure not vulnerability. "exposure counts" = "количество暴露" hmm. Use "количество暴露" no. "количество случаев暴露" no. Translate "exposure counts" as "количество暴露" impossible. "количество暴露" not Russian. "количество暴露" no. Use "количество暴露" no. Let's use "количество暴露" no. Need natural: "число暴露" no. "exposure counts" = "количество暴露" no. "количество暴露" no. Maybe "количество暴露" no. Stop. "exposure counts" -> "количество暴露" no. Use "количество暴露" no. Okay "количество暴露" no. Let's choose "количество暴露" no. Hmm. "exposure counts" in context of exposed instances: "количество暴露" no. Russian security term "暴露" = "подверженность". "exposure counts" = "количество подверженных экземпляров" or "число暴露" no. "exposure" as "раскрытие" not. "exposed instances" = "открытые экземпляры". "exposure counts" = "количество открытых экземпляров". That's okay. "per-instance CVE status" = "статус CVE для каждого экземпляра". "breach correlation" = "корреляция с утечками". "breach" could be compromise. "утечками" okay. "refreshed every 15 minutes" = "обновляется каждые 15 минут". "which is the only way to read figures that were moving this fast as a trend rather than a headline." = "это единственный способ воспринимать цифры, менявшиеся так быстро, как тенденцию, а не как заголовок." Good. Need "The declawed dashboard" maybe "Дашборд declawed" preserve lowercase. "at declawed.io" = "на declawed.io". Output only.Исследователи также опубликовали свой счётчик. Дашборд declawed на declawed.io показывает количество открытых экземпляров, статус CVE для каждого экземпляра и корреляцию с утечками; данные обновляются каждые 15 минут — это единственный способ воспринимать цифры, менявшиеся так быстро, как тенденцию, а не как заголовок.

Установлено, заявлено, не разрешено

Части, которые подтверждаются разными источниками: шлюз OpenClaw хранит учётные данные, от имени которых действует его агент; файл docker-compose проекта в v2026.1.29 публикует порт 18789 на всех интерфейсах хоста и по умолчанию допускает привязку к LAN; в v2026.1.29, выпущенной 30 января 2026 года, исправлены три именованные CVE; а масштабное сканирование интернета обнаружило десятки тысяч открытых панелей — цифру, которую и SecurityScorecard, и Infosecurity Magazine в некоторых единицах указывают на уровне 40 000 или выше.

Части, которые приводятся по данным поставщика и не были независимо воспроизведены: значения 42,9 тыс. и 15,2 тыс., охват в 82 странах, показатель корреляции утечек 53,3 тыс., доля обогащённых утечек 33,8% и вывод до патча 78%. Другой набор чисел Infosecurity Magazine — это второе прочтение того же исследования, а не независимое измерение, и ни одна третья сторона не повторяла сканирование.

Остаются открытыми вопросы: какой знаменатель использовался в каждом опубликованном подсчёте, почему общий показатель корреляции с утечками превышает общий показатель по IP в собственном резюме поставщика, отражают ли адреса, коррелирующие с APT, операторов, использующих OpenClaw, или инфраструктуру, которая лишь случайно его размещает, и была ли какая-либо из открытых панелей действительно захвачена. Источники, прочитанные для этой статьи, не отвечают ни на один из этих вопросов, и в материале не утверждается, что они это делают.