Các bảng điều khiển bị lộ của OpenClaw: 15.200 máy chủ bị gắn cờ vì lỗ hổng thực thi mã từ xa

Nhóm tình báo mối đe dọa STRIKE của SecurityScorecard đã dành một ngày để quét internet công cộng nhằm tìm các bảng điều khiển OpenClaw vào đầu tháng 2 năm 2026 và báo cáo vào ngày 9 tháng 2 rằng đã phát hiện 42.900 địa chỉ IP duy nhất phản hồi trên khắp 82 quốc gia, trong đó 15.200 địa chỉ có vẻ dễ bị tấn công thực thi mã từ xa. Cyber Security News đăng tải các phát hiện này vào ngày 10 tháng 2 năm 2026, ngày được ghi trong bản ghi. Các bảng điều khiển này là bảng điều khiển cổng vào của một tác nhân AI tự lưu trữ, chạy với quyền truy cập tệp của chủ sở hữu, vì vậy cùng nghiên cứu đó cho biết một phiên bản bị xâm phạm sẽ làm lộ khóa SSH, thông tin xác thực đám mây và các phiên trình duyệt đang hoạt động. Không có nạn nhân được nêu tên và không có vụ chiếm quyền điều khiển hàng loạt nào được xác nhận xuất hiện trong các nguồn được đọc cho bài viết này. Bản ghi đầy đủ, cùng với các mức xếp hạng độ nghiêm trọng và độ tin cậy, nằm trong Orca AI Incident Archive, bên cạnh các mục OpenClaw khác từ cùng tháng.

Điều khiến con số này đáng đọc kỹ là nó không phải con số trên tiêu đề. Con số 15.200 là tập con mà STRIKE đánh giá là có thể khai thác, không phải toàn bộ nhóm mà họ phát hiện bị lộ. Cùng nhóm đó đưa ra tổng số là 42.900 địa chỉ IP duy nhất, và bảng điều khiển trực tiếp của chính họ, declawed.io, vẫn đang tiếp tục đếm.

Những gì lần quét đã đếm, và vì sao các con số của nó không khớp nhau

Phương pháp của STRIKE là lấy dấu vân tay thay vì thử đăng nhập. Nhóm đã đối chiếu các tệp favicon mà OpenClaw phục vụ qua ba thời kỳ thương hiệu của nó, tham chiếu chéo tên chung của chứng chỉ TLS, DNS ngược và nhật ký minh bạch chứng chỉ, đồng thời đưa vào dữ liệu vi phạm và tác nhân đe dọa của chính SecurityScorecard. Tiến trình được công bố của nhóm là một thước đo hữu ích cho thấy bức tranh đã thay đổi nhanh đến mức nào: tìm kiếm dựa trên tiêu đề tìm thấy 24.034 trường hợp, lấy dấu vân tay favicon xác nhận 40.214 trường hợp, và 23.505 trong số đó cho thấy một giao diện bảng điều khiển đang hoạt động (SecurityScorecard, 9 tháng 2 năm 2026).

Các con số tiêu đề là những gì phần tóm tắt điều hành của báo cáo đưa ra: 42,9K địa chỉ IP duy nhất trên 82 quốc gia, 15,2K instance được gắn cờ dễ bị tổn thương trước RCE, mà báo cáo diễn đạt là 35,4% số triển khai được quan sát, 24K+ instance gắn với các CVE đã biết, và 53,3K instance được cho là tương quan với hoạt động xâm nhập trước đó. Con số cuối cùng này lớn hơn tổng 42,9K mà nó được cho là nằm trong đó, và SecurityScorecard không giải thích sự chênh lệch trong bài đăng. Báo cáo cũng nói rằng các con số được làm mới mỗi 15 phút, nghĩa là bất kỳ ảnh chụp nhanh đơn lẻ nào cũng là một mục tiêu luôn thay đổi.

Một bản đọc độc lập thứ hai về cùng một nghiên cứu xuất hiện cùng ngày và không khớp. Infosecurity Magazine báo cáo 40.214 instance bị lộ liên quan đến 28.663 địa chỉ IP duy nhất, 12.812 instance có thể khai thác qua RCE, mà họ cho là chiếm 63% số triển khai được quan sát, 549 instance có tương quan với hoạt động xâm nhập trước đó, và 1.493 instance có lỗ hổng đã biết (Phil Muncaster, 9 tháng 2 năm 2026). Hai bản báo cáo bất đồng gần một trăm lần về tương quan xâm nhập, và ước tính của họ về số lượng máy chủ thực sự có thể khai thác khác nhau gần gấp đôi. Cả hai không thể cùng mô tả một tập hợp với cùng mẫu số, và không nguồn nào nêu rõ mẫu số mà mình đã dùng. Con số của chính kho lưu trữ, 15.200, đến từ bản báo cáo đầu tiên trong số này.

Bảng điều khiển của một tác nhân không phải là một trang web

Việc một cổng bị gán sai lại quan trọng ở đây là vì những gì nằm phía sau nó. Một gateway OpenClaw chứa thông tin xác thực mà tác nhân dùng để hành động: thư mục thông tin xác thực tại ~/.openclaw/credentials, khóa SSH trong ~/.ssh, hồ sơ trình duyệt với các phiên đang hoạt động, và các tài khoản nhắn tin mà tác nhân dùng để giao tiếp. Danh sách của SecurityScorecard tiếp tục đến các cron job và heartbeat hook mà kẻ tấn công có thể dùng để duy trì hiện diện, và đến cái mà họ gọi là ngữ cảnh bộ nhớ của tác nhân, mọi thứ tác nhân biết về chủ sở hữu của nó.

Sự kế thừa đó chính là phát hiện thực sự, và báo cáo nêu điều đó không tô vẽ: "AI tác tử không tạo ra các lớp lỗ hổng mới. Nó kế thừa những lỗ hổng cũ và khuếch đại tác động của chúng." Tác tử không phải là lỗ hổng. Nó là đặc quyền mà một bảng quản trị thông thường bị phơi lộ giờ đây mang theo.

Tuyên bố ràng buộc mặc định, và chỗ nó hẹp hơn so với nghe tưởng.

Tuyên bố nhân quả của SecurityScorecard rất thẳng thắn: "Ngay khi cài đặt mặc định, OpenClaw liên kết với 0.0.0.0:18789, nghĩa là nó lắng nghe trên mọi giao diện mạng, bao gồm cả internet công cộng. Với một công cụ mạnh mẽ như vậy, mặc định đáng lẽ phải là 127.0.0.1 (chỉ localhost). Nhưng không phải vậy."

Điều đó đúng với một đường triển khai này nhưng không đúng với đường triển khai khác, và sự khác biệt này có ý nghĩa với bất kỳ ai đang cân nhắc xem mình có bị ảnh hưởng hay không. Trong tệp docker-compose.yml của chính dự án tại thẻ v2026.1.29, container gateway được khởi động với cờ --bind ${OPENCLAW_GATEWAY_BIND:-lan}, tức mặc định dùng địa chỉ LAN, và cùng tệp đó công bố cổng 18789 trên máy chủ mà không có tiền tố địa chỉ, khiến cổng này gắn với mọi giao diện của máy chủ. Gateway dòng lệnh gốc thì khác: trong src/cli/gateway-cli/run.ts tại cùng thẻ đó, giá trị bind mặc định về "loopback" khi không có cờ lẫn thiết lập cấu hình nào, và tiến trình từ chối khởi động trên một địa chỉ không phải loopback nếu không có bí mật chia sẻ. Một bài đánh giá mã nguồn cộng đồng được công bố trong kho lưu trữ explain-openclaw đưa ra cùng sự phân biệt đó, lập luận rằng cách diễn đạt "out of the box" đã gộp lẫn mặc định của compose với mặc định của CLI gốc.

Điều này không làm giảm mức phơi lộ mà bản quét đã phát hiện. Một container được triển khai từ chính tệp compose của dự án lên một máy chủ đám mây đúng là kiểu triển khai mà một bản quét favicon sẽ phát hiện, và các bản dựng cũ trước khi đổi tên mà báo cáo coi là chiếm đa số rất có thể đã cho phép nhiều hơn so với cả hai mặc định hiện tại. Điều đó có nghĩa là câu hỏi thực tế đối với người vận hành là họ đã dùng con đường nào trong hai con đường đó, chứ không phải liệu OpenClaw có vốn dĩ hướng ra công chúng hay không.

Ba CVE, một bản phát hành vá và một điểm số phụ thuộc vào việc ai đang đếm

Ba lỗ hổng mà STRIKE đề cập đều đã được vá trong phiên bản 2026.1.29, bản phát hành GitHub của phiên bản này có dấu thời gian 05:26 UTC ngày 30 tháng 1 năm 2026. CVE-2026-25253 là lỗ hổng RCE một cú nhấp qua tham số gatewayUrl, được chấm 8.8 trong hồ sơ NVD, điểm số do MITRE cung cấp. CVE-2026-24763 là lỗ hổng thoát sandbox Docker qua thao tác PATH, cũng 8.8, do advisory của GitHub chấm. CVE-2026-25157 là lỗ hổng chèn lệnh SSH trong ứng dụng macOS.

Điểm số thứ ba là chỗ các con số đang lưu hành bắt đầu khác nhau. Bài đăng của SecurityScorecard và báo cáo của Cyber Security News đều đưa ra mức 7.8. Tính đến ngày 5 tháng 11 năm 2026, bản ghi của NVD ghi nhận 7.7 từ khuyến nghị GitHub đóng vai trò CNA cho vấn đề này, và 7.5 từ NIST với tư cách là bên chấm điểm chính. Các điểm số này gần nhau, nhưng không phải cùng một con số, và mức 7.8 đi kèm với các bài đưa tin trong ngành không phải là con số nằm trong bất kỳ mục NVD hiện tại nào.

Một đặc điểm của CVE-2026-25253 xứng đáng có một câu riêng, vì nó thay đổi lời khuyên giảm thiểu: SecurityScorecard lưu ý rằng chuỗi đánh cắp token hoạt động "ngay cả khi instance được ràng buộc với localhost." Việc ràng buộc với 127.0.0.1 đóng tuyến truy cập trực tiếp mà bản quét đã đo. Nó không đóng tuyến đó.

Bản phát hành sửa lỗi không chỉ gồm một loạt bản vá CVE. Ghi chú của nó có ghi nhận một thay đổi phá vỡ tương thích: chế độ xác thực gateway "none" đã bị loại bỏ và gateway giờ đây yêu cầu token hoặc mật khẩu, cùng với cảnh báo từ doctor khi gateway bị phơi bày mà không có xác thực. Một bản dựng đủ cũ để vẫn tự gọi mình là Clawdbot hoặc Moltbot thì có trước tất cả những điều đó.

78% là một nhãn thương hiệu, không phải chuỗi phiên bản

Tuyên bố của hồ sơ rằng các CVE đang phổ biến mà chưa được vá dựa trên một đại lượng thay thế. STRIKE đã chia 23.505 bảng điều khiển đang hoạt động theo tiêu đề mà chúng phục vụ: Clawdbot Control 9.280 (39,5%), Moltbot Control 9.048 (38,5%), và OpenClaw Control 5.177 (22,0%). Từ đó, báo cáo kết luận rằng 78% số phiên bản bị phơi lộ “đã chạy các phiên bản cũ hơn với những tên ra đời trước các bản vá bảo mật quan trọng”, và thêm từ “gợi ý” trong câu tiếp theo.

Đó là một suy luận hợp lý và vẫn chỉ là suy luận. Tiêu đề bảng điều khiển là một chuỗi do bản build tự ghi về chính nó, và báo cáo không công bố biểu đồ tần suất phiên bản. Một triển khai có thể hiển thị tiêu đề hiện tại mà vẫn chậm hàng tháng, điều mà chính báo cáo thừa nhận khi nói rằng 22% mang thương hiệu OpenClaw “có thể vẫn là các bản build lỗi thời”. Hướng của phát hiện — rằng hầu hết các triển khai bị phơi lộ đều cũ — được củng cố bởi hình thái của hệ sinh thái chứ không phải bởi một cuộc thống kê ở cấp bản vá.

Dòng về tác nhân đe dọa, và lưu ý đi kèm với nó

Đây là phần của hồ sơ dễ bị trích dẫn sai ngữ cảnh nhất, nên đáng để trình bày chính xác điều mà nguồn sơ cấp nói. STRIKE viết rằng một số IP của instance tương quan với hạ tầng trước đây được quy cho các nhóm có tên, liệt kê Kimsuky, APT28, Salt Typhoon, Sandworm và APT41. Sau đó, tài liệu định nghĩa điều đó có nghĩa là gì: địa chỉ IP hoặc hạ tầng lưu trữ của nó trước đây đã được quan sát thấy liên quan đến hoạt động của nhóm đó, vì vậy một instance "được liên kết với Kimsuky" là instance mà hạ tầng lưu trữ của nó đã bị gắn cờ trong các nguồn cấp dữ liệu tình báo mối đe dọa. Và tài liệu bổ sung câu mà các bản tóm tắt bỏ qua: "Đây là một tín hiệu tình báo, không phải bằng chứng về hoạt động trực tiếp."

Tỷ lệ phần trăm là một phép đo riêng với mẫu số riêng. SecurityScorecard cho biết khoảng 33,8% các phiên bản được làm giàu dữ liệu cho thấy tương quan với vi phạm dữ liệu, mà họ định nghĩa là tổ chức lưu trữ đã từng xuất hiện trong các hồ sơ vi phạm dữ liệu trước đó. Đó là một nhận định về lịch sử bảo mật của máy chủ lưu trữ, không phải về một APT đang vận hành bảng điều khiển. Bản báo cáo của Cyber Security News diễn đạt điều đó thành "khoảng 33,8% hạ tầng bị lộ có tương quan với hoạt động của tác nhân đe dọa đã biết", và phần tóm tắt của kho lưu trữ mang một phiên bản của cách diễn đạt đó. Khi đối chiếu với nguồn sơ cấp, 33,8% là tương quan vi phạm dữ liệu trong một tập con đã được làm giàu, còn tương quan với tác nhân đe dọa là một đại lượng nhỏ hơn, không được nêu tên, mà nhà cung cấp công khai từ chối coi là bằng chứng.

Điều gì thực sự đã bị tổn hại

Hồ sơ lưu trữ xếp bản ghi này là một sự cố có tổn hại thực sự, mức độ nghiêm trọng cao và độ tin cậy A. Những gì các nguồn được trích dẫn ghi nhận là sự phơi nhiễm chứ không phải số người thiệt mạng: các agent đang hoạt động có thể truy cập được từ internet mở, thông tin đăng nhập nằm sau một bảng điều khiển không yêu cầu xác thực, và một tỷ lệ lớn các máy chủ mà người vận hành đã xuất hiện trong dữ liệu vi phạm. Cả SecurityScorecard lẫn Infosecurity Magazine đều không nêu tên nạn nhân, một khoản tiền chuộc, một bộ dữ liệu bị lấy đi, hay một vụ chiếm quyền điều khiển đã được xác nhận nào bắt nguồn từ một bảng điều khiển bị phơi nhiễm. Tổn hại được ghi nhận là cơ hội thường trực, được đo ở quy mô lớn, cộng với tương quan của chính nhà cung cấp rằng một phần ba số máy chủ đã được bổ sung dữ liệu vốn đã bị xâm phạm ở nơi khác.

Sự phân biệt đó cần được giữ nguyên khi đọc. Một phát hiện về lộ lọt ở quy mô này không phải là bằng chứng cho thấy các thông tin bị lộ đã được sử dụng, và các nguồn được đọc ở đây không khẳng định là chúng đã được sử dụng.

Những gì các nhà nghiên cứu đã bảo những người vận hành phải làm

Danh sách khắc phục của SecurityScorecard rất cụ thể và chủ yếu là hoàn tác cấu hình mặc định: vá lên v2026.2.1 trở lên, bản này mới hơn bản phát hành đã sửa ba CVE; đặt gateway.bind thành "127.0.0.1"; truy cập bảng điều khiển qua Tailscale, WireGuard, Cloudflare Tunnel hoặc ngrok thay vì một cổng mở; xoay vòng mọi token và khóa API được lưu trong agent, coi chúng như đã bị xâm phạm; chạy openclaw security audit deep; không bao giờ chạy framework với quyền root; và đối với đội bảo mật, chặn cổng 18789 ở vành đai và theo dõi lưu lượng ra có dạng chỉ huy-và-điều khiển từ các máy trạm nội bộ.

Hai trong số đó đáng được nhấn mạnh vì chúng dễ bị bỏ qua. Việc luân chuyển thông tin xác thực không phụ thuộc vào bằng chứng bị xâm phạm, vì bảng điều khiển lẽ ra sẽ làm lộ các khóa lại chính là bảng điều khiển xác thực chúng. Và mức bản vá tối thiểu không phải là 2026.1.29, dù đó là phiên bản đã sửa ba CVE, vì khuyến nghị của chính STRIKE là 2026.2.1 trở lên.

Các nhà nghiên cứu cũng đã công bố bộ đếm của họ. Bảng điều khiển declawed tại declawed.io trình bày số lượng phơi nhiễm, trạng thái CVE theo từng instance và tương quan rò rỉ dữ liệu, được làm mới 15 phút một lần, đây là cách duy nhất để đọc những con số đang biến động nhanh đến vậy như một xu hướng chứ không phải một dòng tiêu đề.

Đã xác lập, đã báo cáo, chưa giải quyết

Những điểm nhất quán giữa các nguồn: gateway của OpenClaw lưu giữ thông tin xác thực mà tác nhân của nó dùng để hành động; tệp docker-compose của dự án ở v2026.1.29 công khai cổng 18789 trên tất cả giao diện máy chủ và mặc định áp dụng ràng buộc LAN; ba CVE được nêu tên đã được sửa trong v2026.1.29, phát hành ngày 30 tháng 1 năm 2026; và một cuộc quét quy mô lớn trên toàn internet đã tìm thấy hàng chục nghìn bảng điều khiển bị lộ, con số mà cả SecurityScorecard và Infosecurity Magazine đều đưa ra ở mức từ 40.000 trở lên tính theo một đơn vị nào đó.

Những phần do nhà cung cấp báo cáo và chưa được tái tạo độc lập: các con số 42.9K và 15.2K, độ trải rộng 82 quốc gia, con số tương quan vi phạm 53.3K, tỷ lệ vi phạm được làm giàu 33.8%, và suy luận trước bản vá 78%. Bộ số khác của Infosecurity Magazine là cách đọc thứ hai của cùng nghiên cứu đó, không phải một phép đo độc lập, và chưa có bên thứ ba nào chạy lại quá trình quét.

Những phần còn bỏ ngỏ: mỗi con số được công bố đã dùng mẫu số nào, vì sao tổng số tương quan với vụ xâm nhập lại vượt tổng số IP trong chính bản tóm tắt của nhà cung cấp, liệu các địa chỉ tương quan với APT phản ánh việc các đối tượng vận hành sử dụng OpenClaw hay hạ tầng tình cờ lưu trữ nó, và liệu có bảng điều khiển bị lộ nào thực sự bị chiếm quyền kiểm soát hay không. Các nguồn được đọc cho bài này không trả lời bất kỳ điều nào trong số đó, và hồ sơ không tuyên bố rằng chúng có.