OpenClaws exponerade kontrollpaneler: 15 200 värdar flaggade för fjärrkodkörning

SecurityScorecards STRIKE-hotunderrättelseteam spenderade en dag i början av februari 2026 på att skanna det publika internet efter OpenClaw-kontrollpaneler och rapporterade den 9 februari att man hade hittat 42 900 unika IP-adresser som svarade i 82 länder, varav 15 200 verkade sårbara för fjärrkodskörning. Cyber Security News publicerade fynden den 10 februari 2026, det datum som posten anger. Panelerna är gateway-konsolen för en självhostad AI-agent som körs med ägarens filbehörighet, så samma forskning säger att en komprometterad instans överlämnar SSH-nycklar, molnuppgifter och aktiva webbläsarsessioner. Ingen namngiven drabbad och inget bekräftat massövertagande förekommer i källorna som lästs för den här artikeln. Den fullständiga posten, med sina allvarlighets- och konfidensgrader, finns i Orca AI Incident Archive, bredvid de andra OpenClaw-posterna från samma månad.

Det som gör siffran värd att läsa noggrant är att det inte är siffran i rubriken. Siffran 15 200 är den delmängd som STRIKE bedömde vara exploaterbar, inte den population som den fann exponerad. Samma team uppskattade totalen till 42 900 unika IP-adresser, och deras egen live-dashboard, declawed.io, räknade fortfarande.

Vad skanningen räknade, och varför dess siffror inte stämmer

STRIKE:s metod var fingerprinting i stället för inloggningsförsök. Teamet matchade favicon-filerna som OpenClaw serverar under sina tre varumärkeseror, korsrefererade TLS-certifikatens common names, reverse DNS och certificate transparency-loggar och hämtade in SecurityScorecards egna data om intrång och hotaktörer. Den publicerade utvecklingen är ett användbart mått på hur snabbt bilden förändrades: en titelbaserad sökning hittade 24 034 instanser, favicon-fingerprinting bekräftade 40 214, och 23 505 av dessa visade ett aktivt kontrollpanelsgränssnitt (SecurityScorecard, 9 februari 2026).

Rubriksiffrorna är de som rapportens sammanfattning anger: 42,9K unika IP-adresser i 82 länder, 15,2K instanser flaggade som sårbara för RCE, vilket rapporten uttrycker som 35,4 % av observerade driftsättningar, 24K+ instanser kopplade till kända CVE:er och 53,3K instanser som påstås korrelera med tidigare intrångsaktivitet. Den sista siffran är större än totalen på 42,9K som den ska rymmas inom, och SecurityScorecard förklarar inte avvikelsen i inlägget. Rapporten säger också att siffrorna uppdateras var 15:e minut, vilket innebär att varje enskild ögonblicksbild är ett rörligt mål.

En andra, oberoende läsning av samma forskning publicerades samma dag och stämmer inte överens. Infosecurity Magazine rapporterade 40 214 exponerade instanser kopplade till 28 663 unika IP-adresser, varav 12 812 var utnyttjbara via RCE, vilket tidningen angav som 63 % av observerade driftsättningar, 549 instanser korrelerade med tidigare intrångsaktivitet och 1 493 med kända sårbarheter (Phil Muncaster, 9 februari 2026). De två redogörelserna skiljer sig med en faktor på nästan hundra när det gäller intrångskorrelation, och deras uppskattningar av hur många värdar som faktiskt är utnyttjbara skiljer sig med nästan en faktor två. De kan inte båda beskriva samma population med samma nämnare, och ingen av källorna anger vilken nämnare den använde. Arkivets egen siffra, 15 200, kommer från den första av dessa redogörelser.

En agents kontrollpanel är inte en webbsida

Anledningen till att en felbunden port spelar roll här är vad som ligger bakom den. En OpenClaw-gateway innehåller de autentiseringsuppgifter som agenten använder för att agera: katalogen för autentiseringsuppgifter på ~/.openclaw/credentials, SSH-nycklar i ~/.ssh, webbläsarprofiler med aktiva sessioner och de meddelandekonton som agenten kommunicerar via. SecurityScorecards lista fortsätter till cronjobb och heartbeat-krokar som en angripare skulle kunna använda för persistens, och till det den kallar agentens minneskontext, allt agenten vet om sin ägare.

Det är det arvet som är det egentliga fyndet, och rapporten konstaterar det utan omskrivningar: "Agentisk AI skapar inte nya klasser av sårbarheter. Den ärver gamla och förstärker deras effekt." Agenten är inte sårbarheten. Det är det privilegium som en vanlig exponerad administratörspanel nu bär med sig.

Standardbindningspåståendet, och var det är snävare än det låter

SecurityScorecards kausala påstående är rakt på sak: "Direkt ur lådan binder OpenClaw till 0.0.0.0:18789, vilket innebär att det lyssnar på alla nätverksgränssnitt, inklusive det publika internet. För ett verktyg så här kraftfullt borde standardinställningen vara 127.0.0.1 (endast localhost). Det är den inte."

Det stämmer för en distributionsväg men inte för en annan, och skillnaden spelar roll för alla som försöker avgöra om de påverkas. I projektets egen docker-compose.yml vid taggen v2026.1.29 startas gateway-containern med flaggan --bind ${OPENCLAW_GATEWAY_BIND:-lan}, som standardmässigt använder LAN-adressen, och samma fil publicerar port 18789 på värden utan adressprefix, vilket binder den till alla värdens nätverksgränssnitt. Den inbyggda kommandoradsgatewayen är annorlunda: i src/cli/gateway-cli/run.ts vid samma tagg faller bind-värdet tillbaka till "loopback" när varken en flagga eller en konfigurationsinställning finns, och processen vägrar starta på en icke-loopback-adress utan en delad hemlighet. En community-kodgranskning publicerad i explain-openclaw-repositoriet gör samma åtskillnad och hävdar att formuleringen "out of the box" sammanblandar compose-standardvärdet med den inbyggda CLI-standardvärdet.

Detta minskar inte den exponering som skanningen hittade. En container som distribueras från projektets egen compose-fil till en molnvärd är precis den typ av distribution som en favicon-skanning skulle upptäcka, och de äldre byggen från före namnbytet som rapporten räknar som majoriteten kan mycket väl ha varit mer tillåtande än någon av de nuvarande standardinställningarna. Det betyder att den praktiska frågan för en operatör är vilken av dessa två vägar de använde, inte om OpenClaw i grunden är offentligt exponerad.

Tre CVE:er, en patchutgåva och en poäng som beror på vem som räknar

De tre sårbarheter som STRIKE hänvisar till åtgärdades alla i version 2026.1.29, vars GitHub-utgåva är tidsstämplad 05:26 UTC den 30 januari 2026. CVE-2026-25253 är RCE med ett klick via en gatewayUrl-parameter, poängsatt till 8,8 i NVD:s register, en poäng som MITRE har angett. CVE-2026-24763 är Docker-sandlådans escape via PATH-manipulation, även den 8,8, poängsatt av GitHubs rådgivning. CVE-2026-25157 är SSH-kommandoinjektionen i macOS-appen.

Det tredje poängvärdet är där de cirkulerande siffrorna skiljer sig åt. SecurityScorecards inlägg och rapporten från Cyber Security News anger båda 7,8. Avläst den 5 november 2026 anger NVD:s post 7,7 från GitHub-rådgivningen som fungerar som CNA för ärendet, och 7,5 från NIST som primär poängsättare. Poängen ligger nära varandra, men de är inte samma siffra, och det 7,8 som följer med branschbevakningen är inte det som finns i någon av de aktuella NVD-posterna.

En egenskap hos CVE-2026-25253 förtjänar en egen mening, eftersom den förändrar åtgärdsrådet: SecurityScorecard noterar att kedjan för tokenstöld fungerar "även om instansen är bunden till localhost." Bindning till 127.0.0.1 stänger den direktåtkomstväg som genomsökningen mätte. Den stänger inte den.

Fixversionen var inte bara en uppsättning CVE-patchar. Dess versionsanteckningar dokumenterar en brytande ändring: att gateway-autentiseringsläget "none" har tagits bort och att gatewayen nu kräver en token eller ett lösenord, samt en doctor-varning när gatewayen exponeras utan autentisering. En build som är så gammal att den fortfarande kallar sig Clawdbot eller Moltbot föregår allt detta.

78 % är en varumärkesetikett, inte en versionssträng

Dokumentets påstående att CVE:erna i stor utsträckning är ouppdaterade vilar på en proxyvariabel. STRIKE delade upp de 23 505 aktiva panelerna efter vilken titel de visade: Clawdbot Control 9 280 (39,5 %), Moltbot Control 9 048 (38,5 %) och OpenClaw Control 5 177 (22,0 %). Utifrån detta drar rapporten slutsatsen att 78 % av de exponerade instanserna "har kört äldre versioner med namn som föregår kritiska säkerhetsuppdateringar", och tillägger ordet "suggests" i nästa mening.

Det är en rimlig slutledning, och det är fortfarande en slutledning. Panelrubriken är en sträng som bygget skriver om sig självt, och rapporten publicerar inget versionshistogram. En driftsättning kan visa den aktuella rubriken och ändå ligga månader efter, vilket rapporten själv medger när den säger att de 22 % som har OpenClaw-branding "kan fortfarande vara föråldrade byggen". Riktningen på fyndet – att de flesta exponerade driftsättningarna är gamla – stöds av ekosystemets form snarare än av en inventering på patch-nivå.

Hotaktörslinjen, och förbehållet som hör till den

Detta är den del av protokollet som mest sannolikt kommer att citeras ur sitt sammanhang, så det är värt att exakt redogöra för vad primärkällan säger. STRIKE skriver att vissa instans-IP:n korrelerar med infrastruktur som tidigare tillskrivits namngivna grupper, och listar Kimsuky, APT28, Salt Typhoon, Sandworm och APT41. Därefter definierar den vad det innebär: IP-adressen eller dess hostinginfrastruktur har tidigare observerats i samband med gruppens verksamhet, så en instans "kopplad till Kimsuky" är en vars hosting har flaggats i hotintelligensflöden. Och den lägger till meningen som sammanfattningarna utelämnar: "Detta är en underrättelsesignal, inte bevis för direkt operation."

Procentsatsen är en separat mätning med en separat nämnare. SecurityScorecard uppger att ungefär 33,8 % av de berikade instanserna visar intrångskorrelation, vilket de definierar som att värdorganisationen har förekommit i tidigare register över dataintrång. Det är ett uttalande om värdenhetens säkerhetshistorik, inte om att en APT driver panelen. Rapporten från Cyber Security News återger det som "ungefär 33,8 % av den exponerade infrastrukturen korrelerar med känd hotaktörsaktivitet", och arkivets sammanfattning bär en version av den framställningen. Läst mot primärkällan är 33,8 % intrångskorrelation inom en berikad delmängd, och hotaktörskorrelationen är en icke namngiven, mindre kvantitet som leverantören uttryckligen avstår från att behandla som bevis.

Vad skadades egentligen

Arkivet klassificerar denna post som en incident med verklig skada, hög allvarlighetsgrad och konfidens A. Det de citerade källorna dokumenterar är exponering snarare än ett antal dödsoffer: aktiva agenter som är nåbara från det öppna internet, inloggningsuppgifter som ligger bakom en oautentiserad panel och en stor andel värdar vars operatörer redan har förekommit i intrångsdata. Varken SecurityScorecard eller Infosecurity Magazine namnger ett offer, en lösensumma, en datauppsättning som tagits eller ett enda bekräftat övertagande som kan härledas till en exponerad panel. Den skada som registrerats är den bestående möjligheten, mätt i stor skala, plus leverantörens egen korrelation att en tredjedel av de berikade värdarna redan var komprometterade någon annanstans.

Den distinktionen bör stå sig vid läsningen. Ett exponeringsfynd av den här storleken är inte bevis för att exponeringarna har använts, och de källor som läses här hävdar inte att de har det.

Vad forskarna sa till operatörerna att göra

SecurityScorecards åtgärdslista är specifik och handlar mest om att ångra standardinställningarna: patch till v2026.2.1 eller senare, vilket är senare än versionen som åtgärdade de tre CVE:erna; ange gateway.bind till "127.0.0.1"; nå panelen via Tailscale, WireGuard, Cloudflare Tunnel eller ngrok i stället för en öppen port; rotera varje token och API-nyckel som lagras i agenten och betrakta dem som redan komprometterade; kör openclaw security audit deep; kör aldrig ramverket som root; och för säkerhetsteam: blockera port 18789 vid perimeter och håll utkik efter utgående trafik från interna arbetsstationer som liknar kommando-och-kontroll.

Två av dessa förtjänar betoning eftersom de är lätta att hoppa över. Rotationen av autentiseringsuppgifter är inte villkorad av bevis på kompromettering, eftersom panelen som skulle ha exponerat nycklarna är samma panel som autentiserar dem. Och den lägsta patchnivån är inte 2026.1.29 även om det är där de tre CVE:erna åtgärdades, eftersom STRIKE:s egen rekommendation är 2026.2.1 eller senare.

Forskarna publicerade också sin räknare. Instrumentpanelen declawed på declawed.io visar exponeringsantal, CVE-status per instans och intrångskorrelation, uppdaterad var 15:e minut, vilket är det enda sättet att läsa siffror som rörde sig så här snabbt som en trend snarare än en rubrik.

Etablerad, rapporterad, olöst

De delar som håller i sig över källorna: OpenClaws gateway lagrar de autentiseringsuppgifter som dess agent agerar med; projektets docker-compose-fil i v2026.1.29 publicerar port 18789 på alla värdgränssnitt och tillämpar en LAN-bindning som standard; tre namngivna CVE:er åtgärdades i v2026.1.29, som släpptes den 30 januari 2026; och en stor skanning över hela internet hittade tiotusentals exponerade paneler, en siffra som både SecurityScorecard och Infosecurity Magazine anger till 40 000 eller mer i någon enhet.

De delar som är leverantörsrapporterade och inte oberoende reproducerade: antalen 42,9K och 15,2K, spridningen över 82 länder, siffran 53,3K för intrångskorrelation, den berikade intrångsfrekvensen på 33,8 % och slutsatsen om 78 % före patchning. Infosecurity Magazines annorlunda uppsättning siffror är en andra läsning av samma forskning, inte en oberoende mätning, och ingen tredje part har kört om skanningen.

De delar som fortfarande är öppna: vilken nämnare varje publicerad siffra använde, varför totalen för intrångskorrelationen överstiger IP-totalen i leverantörens egen sammanfattning, huruvida de APT-korrelerade adresserna speglar operatörer som använder OpenClaw eller infrastruktur som råkar vara värd för det, och huruvida någon exponerad panel faktiskt övertogs. De källor som lästs för den här artikeln besvarar ingen av dessa, och materialet gör inte anspråk på att de gör det.