OpenClaw 暴露的控制面板：15,200 台主机被标记存在远程代码执行风险

2026年2月初，SecurityScorecard 的 STRIKE 威胁情报团队花了一天时间扫描公网上的 OpenClaw 控制面板，并于2月9日报告称，共发现分布在82个国家的42,900个唯一 IP 地址作出响应，其中15,200个似乎易受远程代码执行攻击。Cyber Security News 于2026年2月10日报道了这些发现，这也正是本条记录所载的日期。这些面板是一个自托管 AI 代理的网关控制台，该代理以其所有者的文件访问权限运行，因此同一项研究称，某个实例一旦被攻陷，就会交出其 SSH 密钥、云凭据和实时浏览器会话。本文查阅的来源中未出现具名受害者，也没有经确认的大规模接管事件。完整记录及其严重性与置信度评级收录于Orca AI Incident Archive，与同月的其他 OpenClaw 条目并列。

让这个数字值得仔细阅读的是，它并不是标题中的那个数字。15,200 这个数字是 STRIKE 判定为可利用的子集，而不是它发现已暴露的总量。同一团队将总数定为 42,900 个唯一 IP 地址，而其自己的实时仪表盘 declawed.io 仍在继续统计。

扫描统计了什么，以及其数字为何不一致

STRIKE 的方法是指纹识别，而不是登录尝试。团队匹配了 OpenClaw 在三个品牌时期所提供的 favicon 文件，交叉核对了 TLS 证书通用名称、反向 DNS 和证书透明度日志，并引入了 SecurityScorecard 自身的泄露和威胁行为者数据。其公布的演进过程可有效衡量情况变化有多快：基于标题的搜索发现了 24,034 个实例，favicon 指纹识别确认了 40,214 个，其中 23,505 个显示了活跃的控制面板界面（SecurityScorecard，2026年2月9日）。

报告的执行摘要给出的正是这些标题数字：82个国家/地区的42.9K个唯一IP地址、15.2K个被标记为易受RCE攻击的实例（报告称这占观测到的部署的35.4%）、24K+个与已知CVE相关的实例，以及53.3K个声称与既往入侵活动相关的实例。最后一个数字大于它本应包含于其中的42.9K总数，而SecurityScorecard并未在文章中解释这一差异。报告还称计数每15分钟刷新一次，这意味着任何单次快照都是一个移动目标。

对同一项研究的第二份独立解读在同一天发布，但两者并不吻合。Infosecurity Magazine 报道了 40,214 个暴露实例，关联 28,663 个唯一 IP 地址，其中 12,812 个可通过 RCE 利用，该刊称这占其观测到的部署的 63%；549 个实例与先前的泄露事件活动相关，1,493 个存在已知漏洞（Phil Muncaster，2026年2月9日）。两份报道在泄露事件关联方面相差近一百倍，而对实际可被利用的主机数量的估计几乎相差一倍。它们不可能是在用同一分母描述同一总体，而且两个来源都没有说明自己使用的是哪个分母。该档案自身的数字 15,200 来自这两份报道中的第一份。

代理的控制面板不是网页

端口绑定错误之所以在这里重要，是因为它背后承载着什么。OpenClaw 网关保存着智能体用来执行操作的凭据：位于 ~/.openclaw/credentials 的凭据目录、~/.ssh 中的 SSH 密钥、带有活动会话的浏览器配置文件，以及智能体用来通信的消息账户。SecurityScorecard 的清单还延伸到攻击者可用于持久化的 cron 任务和心跳钩子，并延伸到其所谓的智能体记忆上下文——即智能体所知道的关于其所有者的一切。

这种继承才是真正的发现，报告对此毫不修饰地指出：“智能体 AI 不会创造新的漏洞类别。它继承旧漏洞，并放大其影响。”智能体本身不是漏洞。它是一个普通暴露的管理面板如今所承载的特权。

默认具有约束力的主张，以及它在何处比听起来更为狭窄

SecurityScorecard 的因果论断很直白：“开箱即用时，OpenClaw 会绑定到 0.0.0.0:18789，这意味着它会监听所有网络接口，包括公共互联网。对于如此强大的工具，默认值本应是 127.0.0.1（仅限 localhost）。但事实并非如此。”

对于一条部署路径成立，对另一条则不然，而这一差异对任何想判断自己是否受影响的人都很重要。在项目自身于标签 v2026.1.29 处的 docker-compose.yml 中，网关容器启动时带有标志 --bind ${OPENCLAW_GATEWAY_BIND:-lan}，该标志默认使用局域网地址，而同一文件将端口 18789 发布到主机上且不带地址前缀，这会将其绑定到所有主机接口。原生命令行网关则不同：在同一标签下的 src/cli/gateway-cli/run.ts 中，当既没有标志也没有配置设置时，bind 值会回退为 "loopback"，并且在没有共享密钥的情况下，该进程会拒绝在非回环地址上启动。在 explain-openclaw 仓库中发布的一份社区代码审查作出了同样的区分，认为“开箱即用”这一措辞将 compose 默认值与原生 CLI 默认值混为一谈。

这并不会缩小扫描所发现的暴露面。从项目自带的 compose 文件部署到云主机上的容器，正是 favicon 扫描会标记出来的那种部署形态；而报告将其视为多数的重命名前旧构建，很可能比当前两种默认配置中的任何一种都更宽松。这确实意味着，对运维人员来说，实际问题在于他们用的是这两条路径中的哪一条，而不是 OpenClaw 是否天生面向公网。

三个 CVE、一次补丁发布，以及一个取决于谁来计数的分数

STRIKE 引用的三个漏洞均已在 2026.1.29 版中修复，其 GitHub 发布版本的时间戳为 2026 年 1 月 30 日 05:26 UTC。CVE-2026-25253 是通过 gatewayUrl 参数实现的一键 RCE，在 NVD 记录中评分为 8.8，该评分由 MITRE 提供。CVE-2026-24763 是通过 PATH 操纵实现的 Docker 沙箱逃逸，评分同样为 8.8，由 GitHub 的公告评分。CVE-2026-25157 是 macOS 应用中的 SSH 命令注入。

第三个分数正是各流传数值出现分歧的地方。SecurityScorecard 的文章和 Cyber Security News 的报道都将其列为 7.8。在 2026 年 11 月 5 日查阅时，NVD 的记录中载有来自 GitHub 公告的 7.7，该公告担任该问题的 CNA；还载有来自作为主要评分方的 NIST 的 7.5。这些分数很接近，但并不是同一个数字，而且随行业媒体报道流传的 7.8 并不等于当前任一 NVD 条目中的数值。

CVE-2026-25253 的一个特性值得单独用一句话说明，因为它会改变缓解建议：SecurityScorecard 指出，这条令牌窃取链“即使实例绑定到 localhost 也仍然有效”。绑定到 127.0.0.1 关闭了扫描所测量的直接访问路径，但并未关闭那一条。

修复版本不只是一组 CVE 补丁。其发布说明记录了一项破坏性变更：网关认证模式 "none" 已被移除，网关现在需要令牌或密码，并且当网关在未启用认证的情况下暴露时会给出 doctor 警告。一个旧到仍自称 Clawdbot 或 Moltbot 的构建，早于所有这些变更。

78% 是品牌标识，而不是版本字符串

该记录关于这些 CVE 普遍未修补的说法依赖一个替代指标。STRIKE 按 23,505 个活跃面板所服务的标题对其进行划分：Clawdbot Control 9,280 个（39.5%）、Moltbot Control 9,048 个（38.5%）、OpenClaw Control 5,177 个（22.0%）。报告由此得出结论：78% 的暴露实例“一直在运行名称早于关键安全补丁的较旧版本”，并在下一句中加上了“suggests”一词。

这是一个合理的推断，但它仍然只是推断。面板标题是构建自身写入的字符串，而报告并未发布版本直方图。一次部署可以呈现当前标题，却仍落后数月；报告本身也承认这一点，称采用 OpenClaw 品牌的 22%“可能仍是过时的构建”。该发现的方向——大多数暴露的部署都是旧的——是由生态系统的形态而非补丁级别的普查所佐证的。

威胁行为者这一说法，以及附带的限定说明

这是记录中最有可能被断章取义引用的部分，因此值得准确说明原始来源到底说了什么。STRIKE 写道，某些实例 IP 与先前被归因于具名组织的基础设施存在关联，并列举了 Kimsuky、APT28、Salt Typhoon、Sandworm 和 APT41。随后它界定了这意味着什么：该 IP 地址或其托管基础设施此前曾在此类组织行动相关的情境中被观察到，因此一个“与 Kimsuky 关联”的实例，指的是其托管服务已在威胁情报源中被标记的实例。它还补充了摘要中略去的那句话：“这是一个情报信号，而非直接运营的证据。”

该百分比是一项单独的测量，有着单独的分母。SecurityScorecard 表示，约 33.8% 的经丰富化实例显示出泄露相关性，其定义为托管组织曾出现在先前的数据泄露记录中。这是关于主机安全历史的陈述，而不是关于某个 APT 在运营该面板的陈述。Cyber Security News 的报道将其表述为“约 33.8% 的暴露基础设施与已知威胁行为者活动相关”，而该档案的摘要也带有这种表述的一个版本。对照原始来源来看，33.8% 是经丰富化子集中的泄露相关性，而威胁行为者相关性是一个未具名的、更小的数量，供应商明确拒绝将其视为证据。

实际受到损害的是什么

档案将这条记录评定为一起具有真实危害、高严重性和 A 级置信度的事件。引用来源所记录的是暴露面，而非受害者人数：可从开放互联网访问的活跃代理、存放在未经身份验证的面板之后的凭据，以及很大一部分主机——其运营者已经出现在泄露数据中。SecurityScorecard 和 Infosecurity Magazine 都没有指明受害者、赎金、被窃取的数据集，也没有确认任何一起可追溯到暴露面板的接管事件。所记录的危害是按规模衡量的持续可乘之机，再加上供应商自身的关联结论：三分之一经富化处理的主机已在别处遭到入侵。

这一区分在阅读时应当保留。如此规模的暴露发现，并不能证明这些暴露曾被利用，而本文所查阅的来源也并未声称它们曾被利用。

研究人员告诉操作员要做的事

SecurityScorecard 的修复清单很具体，主要是撤销默认配置：升级到 v2026.2.1 或更高版本，该版本晚于修复这三个 CVE 的发布版本；将 gateway.bind 设为“127.0.0.1”；通过 Tailscale、WireGuard、Cloudflare Tunnel 或 ngrok 访问面板，而不是通过开放端口；轮换 agent 中存储的所有令牌和 API 密钥，并将其视为已泄露；运行 openclaw security audit deep；切勿以 root 身份运行该框架；对于安全团队，在外围封锁端口 18789，并留意来自内部工作站的、形似命令与控制（C2）的出站流量。

其中两项值得强调，因为它们很容易被跳过。凭据轮换并不以存在泄露证据为条件，因为本应暴露这些密钥的面板，正是用于认证它们的同一个面板。而最低补丁版本并不是 2026.1.29，尽管三个 CVE 正是在该版本中修复的，因为 STRIKE 自己的建议是 2026.2.1 或更高版本。

研究人员还发布了他们的统计看板。位于 declawed.io 的 declawed 看板展示暴露计数、各实例的 CVE 状态和泄露关联，每 15 分钟刷新一次；这是将变化如此迅速的数据解读为趋势而非头条新闻的唯一方式。

已确认、已报告、未解决

各来源中一致成立的部分包括：OpenClaw 的网关持有其代理程序行动时所使用的凭据；该项目在 v2026.1.29 中的 docker-compose 文件在所有主机接口上发布端口 18789，并默认通过局域网绑定；三个已命名的 CVE 已在 v2026.1.29 中修复，该版本于 2026 年 1 月 30 日发布；一次大规模全网扫描发现了数万个暴露的面板，SecurityScorecard 和 Infosecurity Magazine 按某种单位计算都将这一数字定为 40,000 或以上。

由供应商报告且未经独立复现的部分包括：42.9K 和 15.2K 的计数、覆盖 82 个国家的分布、53.3K 的泄露关联数字、33.8% 的增强后泄露率，以及 78% 的补丁前推断。Infosecurity Magazine 的另一组数字是对同一项研究的第二种解读，而非独立测量，且尚无第三方重新运行该扫描。

仍然悬而未决的部分包括：每个已公布的计数使用了哪个分母，为什么在供应商自己的摘要中，泄露关联总数超过了 IP 总数，与 APT 相关联的地址反映的是操作者在使用 OpenClaw，还是恰好托管它的基础设施，以及是否有任何暴露的面板实际上被接管。本文查阅的来源没有回答其中任何一个问题，而记录也未声称它们回答了。