OpenClaw 暴露的控制面板：15,200 台主機被標記為遠端程式碼執行

SecurityScorecard 的 STRIKE 威脅情報團隊於 2026 年 2 月初花了一天時間掃描公開網際網路上的 OpenClaw 控制面板，並於 2 月 9 日報告稱，發現橫跨 82 個國家、共 42,900 個有回應的不重複 IP 位址，其中 15,200 個似乎容易受到遠端程式碼執行攻擊。Cyber Security News 於 2026 年 2 月 10 日報導了這些發現，這也是該紀錄所載的日期。這些面板是自架 AI 代理的閘道主控台，該代理以擁有者的檔案存取權限運行，因此同一份研究指出，遭入侵的執行個體會交出其 SSH 金鑰、雲端憑證和即時瀏覽器工作階段。本文所閱讀的來源中，沒有出現具名受害者，也沒有確認的大規模接管事件。完整紀錄及其嚴重性和信心等級，收錄於 Orca AI Incident Archive，與同月的其他 OpenClaw 條目並列。

這個數字值得仔細閱讀的原因在於，它不是標題裡的那個數字。15,200 這個數字是 STRIKE 判定為可利用的子集，而不是它發現暴露的整體數量。同一個團隊把總數定為 42,900 個不重複 IP 位址，而它自己的即時儀表板 declawed.io 仍在持續計數。

掃描計入了什麼，以及為何其數字不一致

STRIKE 的方法是進行指紋辨識，而非嘗試登入。團隊比對 OpenClaw 在三個品牌時期所提供的 favicon 檔案，交叉參照 TLS 憑證通用名稱、反向 DNS 與憑證透明度日誌，並納入 SecurityScorecard 自身的入侵與威脅行為者資料。其公布的進展是衡量情勢變化速度的有用指標：以標題為基礎的搜尋找到 24,034 個執行個體，favicon 指紋辨識確認 40,214 個，其中 23,505 個顯示有作用中的控制面板介面（SecurityScorecard，2026 年 2 月 9 日）。

這些標題數字是報告執行摘要所提供的：42.9K 個不重複 IP 位址，遍及 82 個國家；15.2K 個執行個體被標記為易受 RCE 攻擊，報告將其表示為觀察到的部署中的 35.4%；24K+ 個執行個體與已知 CVE 相關；以及 53.3K 個執行個體聲稱與先前的入侵活動有關。最後這個數字大於它理應包含於其中的 42.9K 總數，而 SecurityScorecard 並未在文章中解釋這項差異。報告還指出，這些計數每 15 分鐘更新一次，這意味著任何單一快照都是不斷變動的目標。

同一天出現了對同一份研究的第二份獨立解讀，而兩者並不一致。《Infosecurity Magazine》報導指出，有 40,214 個暴露執行個體，關聯到 28,663 個不重複 IP 位址，其中 12,812 個可透過 RCE 利用，該刊將其列為觀察到的部署中的 63%；另有 549 個執行個體與先前的入侵活動相關，1,493 個與已知漏洞相關（Phil Muncaster，2026 年 2 月 9 日）。這兩種說法在入侵關聯方面相差近一百倍，而它們對實際可利用主機數量的估計也相差近兩倍。它們不可能是在描述同一個母體、使用同一個分母，而兩個來源都未說明自己用的是哪個分母。該檔案本身的數字 15,200，來自上述說法中的第一份。

代理的控制面板不是網頁。

這裡之所以會在意連接埠綁定錯誤，原因在於它背後所承載的東西。OpenClaw 閘道持有代理程式用來行動的憑證：位於 ~/.openclaw/credentials 的憑證目錄、~/.ssh 中的 SSH 金鑰、帶有作用中工作階段的瀏覽器設定檔，以及代理程式用來發送訊息的訊息帳號。SecurityScorecard 的清單還延伸到攻擊者可用來持久潛伏的 cron 工作與心跳掛鉤，以及它所稱的代理程式記憶脈絡，也就是代理程式所知道有關其擁有者的一切。

那種繼承才是真正的發現，而報告毫不粉飾地指出：「代理式 AI 不會創造新的漏洞類別。它繼承舊有的漏洞，並放大其影響。」代理本身不是漏洞。它是普通暴露在外的管理面板如今所承載的權限。

預設綁定主張，以及它比聽起來更狹隘的地方

SecurityScorecard 的因果論斷相當直白：「OpenClaw 開箱即綁定到 0.0.0.0:18789，這意味著它會監聽所有網路介面，包括公開網際網路。對於如此強大的工具，預設值本應是 127.0.0.1（僅限本機）。但事實並非如此。」

這種說法只對其中一種部署路徑成立，對另一種則不成立，而這個差異對任何正在判斷自己是否受影響的人來說都很重要。在專案於標籤 v2026.1.29 的 docker-compose.yml 中，閘道容器啟動時帶有 --bind ${OPENCLAW_GATEWAY_BIND:-lan} 旗標，其預設值為 LAN 位址，而同一個檔案在主機上發布連接埠 18789 時沒有加上位址前綴，因此會綁定到主機的每一個介面。原生命令列閘道則不同：在同一個標籤的 src/cli/gateway-cli/run.ts 中，當旗標與組態設定都不存在時，bind 值會回退為 "loopback"，而且該行程在沒有共用密鑰的情況下，會拒絕在非 loopback 位址上啟動。發表於 explain-openclaw 儲存庫的一份社群程式碼審查也做出相同的區分，主張「開箱即用」這種說法把 compose 預設值與原生 CLI 預設值混為一談。

這並不會縮小掃描所發現的暴露範圍。從專案自帶的 compose 檔案部署到雲端主機上的容器，正是 favicon 掃描會標示出來的部署形態，而報告列為多數的較舊、改名前的建置版本，很可能比目前任一預設值都更寬鬆。這確實意味著，對操作者而言，實務問題在於他們用的是這兩條路徑中的哪一條，而不是 OpenClaw 本身是否天生就對外公開。

三個 CVE、一個修補程式版本，以及一個取決於誰來計算的分數

STRIKE 引用的三個漏洞皆已在 2026.1.29 版中修復，其 GitHub 發布版的時間戳為 2026 年 1 月 30 日 05:26 UTC。CVE-2026-25253 是透過 gatewayUrl 參數發動的一鍵 RCE，在 NVD 的記錄中評分為 8.8，該分數由 MITRE 提供。CVE-2026-24763 是透過 PATH 操縱實現的 Docker 沙箱逃逸，評分同樣為 8.8，由 GitHub 的公告評定。CVE-2026-25157 是 macOS 應用程式中的 SSH 命令注入。

第三個分數正是流通數字出現分歧之處。SecurityScorecard 的文章與 Cyber Security News 的報導都給出 7.8。於 2026 年 11 月 5 日查閱時，NVD 的記錄載有 7.7，來自作為該問題 CNA 的 GitHub 公告，以及 7.5，來自作為主要評分者的 NIST。這些分數很接近，但並非同一個數字，而隨行業報導流傳的 7.8 也不是目前任一 NVD 條目中的那個數字。

CVE-2026-25253 有一個特性值得單獨用一句話說明，因為它會改變緩解建議：SecurityScorecard 指出，這條權杖竊取鏈「{{1}}即使執行個體繫結到 localhost 也一樣{{/1}}」。繫結到 127.0.0.1 會關閉掃描所測得的直接存取路徑。但它不會關閉那一條路徑。

這次修正版本不只是一組 CVE 修補程式。其說明記錄了一項破壞性變更：閘道驗證模式「none」已被移除，閘道現在需要權杖或密碼，並且當閘道在未經驗證的情況下暴露時會出現 doctor 警告。一個舊到仍自稱 Clawdbot 或 Moltbot 的建置版本，早於這一切。

78% 是品牌標籤，不是版本字串

該紀錄聲稱這些 CVE 普遍未修補，依據的是一個代理指標。STRIKE 依各面板所提供服務的標題，將 23,505 個活躍面板分為：Clawdbot Control 9,280 個（39.5%）、Moltbot Control 9,048 個（38.5%），以及 OpenClaw Control 5,177 個（22.0%）。報告由此得出結論：78% 的暴露執行個體「執行的是名稱早於重大安全修補程式的較舊版本」，並在下一句加上「suggests」一詞。

這是一個合理的推論，而且它仍然只是推論。面板標題是建置版本自我描述的字串，而報告並未公布版本直方圖。一個部署可能顯示目前的標題，卻仍落後數個月；報告本身也承認這點，指出那 22% 使用 OpenClaw 品牌的部署「可能仍是過時的建置版本」。這項發現的方向——大多數暴露的部署都是舊版——是由生態系的整體樣貌所佐證，而非來自修補層級的普查。

威脅行為者這條路線，以及附帶的但書

這是紀錄中最可能被斷章取義引用的部分，因此值得確切說明原始來源究竟怎麼說。STRIKE 寫道，某些執行個體 IP 與先前被歸因於具名組織的基礎設施相關，並列出 Kimsuky、APT28、Salt Typhoon、Sandworm 和 APT41。接著它定義了這代表什麼：該 IP 位址或其主機代管基礎設施先前曾被觀察到與該組織的行動有關，因此一個「與 Kimsuky 有關聯」的執行個體，就是指其主機代管曾在威脅情報來源中被標記的執行個體。它還補上了摘要所省略的那句話：「這是情報訊號，並非直接操作的證明。」

這個百分比是另一項獨立測量，分母也不同。SecurityScorecard 表示，約 33.8% 的經增補實例顯示外洩關聯，其定義是託管組織曾出現在先前的資料外洩紀錄中。這是關於主機安全歷史的陳述，而非關於有 APT 在操作該面板。Cyber Security News 的報導將其表述為「約 33.8% 的暴露基礎設施與已知威脅行為者活動相關」，而該存檔的摘要也採用了這種框架的某個版本。對照原始來源來看，33.8% 是經增補子集中的外洩關聯，而威脅行為者關聯則是一個未具名、數值更小的量，廠商明確拒絕將其視為證明。

實際上受到損害的是什麼？

檔案將此紀錄評定為具有實際危害、高嚴重性且信心等級為 A 的事件。所引用來源記錄的是暴露情形，而非傷亡人數：可從公開網際網路觸及的執行中代理程式、置於未經身分驗證面板之後的憑證，以及很大比例的主機，其營運者已出現在外洩資料中。SecurityScorecard 和 Infosecurity Magazine 都未指名受害者、贖金、遭取走的資料集，或任何一宗可追溯至暴露面板的已確認接管事件。所記錄的危害是大規模衡量下持續存在的可乘之機，加上供應商自身的關聯分析：三分之一經資料增補的主機已在別處遭到入侵。

這項區別在閱讀時應予保留。如此規模的暴露發現，並不構成這些暴露已被利用的證據，而此處所閱讀的來源也並未如此主張。

研究人員告訴操作員要做什麼

SecurityScorecard 的修復清單很具體，且大多是關於撤銷預設設定：修補至 v2026.2.1 或更新版本，該版本晚於修復這三個 CVE 的發行版；將 gateway.bind 設為「127.0.0.1」；透過 Tailscale、WireGuard、Cloudflare Tunnel 或 ngrok 存取面板，而非開放連接埠；輪換代理程式中儲存的每個權杖與 API 金鑰，並將其視為已遭外洩；執行 openclaw security audit deep；絕不以 root 身分執行該框架；而對安全團隊而言，在周邊封鎖連接埠 18789，並留意來自內部工作站、外形像命令與控制（C2）的對外流量。

其中兩點值得特別強調，因為它們很容易被略過。憑證輪換並非以有入侵跡象為前提，因為原本會暴露金鑰的那個面板，正是用來驗證這些金鑰的同一面板。而修補下限也不是 2026.1.29，儘管三個 CVE 是在該版本修正的，因為 STRIKE 自身的建議是 2026.2.1 或更新版本。

研究人員也公布了他們的計數器。位於 declawed.io 的 declawed 儀表板呈現暴露計數、各執行個體的 CVE 狀態與外洩關聯，每 15 分鐘更新一次，這是唯一能將變動如此快速的數字視為趨勢而非頭條新聞來解讀的方式。

已確立、已報告、未解決

跨來源一致成立的部分如下：OpenClaw 的閘道持有其代理程式運作時所使用的憑證；該專案在 v2026.1.29 的 docker-compose 檔案會在所有主機介面上開放 18789 埠，且預設會採用 LAN 繫結；三個具名 CVE 已於 2026 年 1 月 30 日發佈的 v2026.1.29 中修復；而一次大規模的全網掃描發現數以萬計暴露的面板，SecurityScorecard 與 Infosecurity Magazine 都將此數字以某種單位計為 40,000 或以上。

廠商自行通報、未經獨立重現的部分包括：42.9K 與 15.2K 這兩個數量、涵蓋 82 國的分布、53.3K 的外洩關聯數字、33.8% 的經充實外洩率，以及 78% 的修補前推論。Infosecurity Magazine 提出的另一組數字，是對同一份研究的第二種解讀，並非獨立測量，且尚無第三方重新執行該掃描。

仍未釐清的部分包括：每個已公布數字各自採用哪個分母、為何在供應商自己的摘要中，外洩關聯總數會超過 IP 總數、與 APT 相關的位址究竟反映的是操作者使用 OpenClaw，還是恰好託管它的基礎設施，以及是否有任何暴露的面板實際遭到接管。本文所查閱的來源都未能回答上述任何一項，而現有紀錄也並未聲稱它們能夠回答。