nodejsコンポーネントであるOpenClawで、コマンドインジェクション、認証バイパス、機密ファイル漏洩など、複数の脆弱性が発見されました。これらの脆弱性により、攻撃者は任意のコードを実行したり、セキュリティチェックをバイパスしたり、機密情報にアクセスしたりする可能性があります。これらのリスクを軽減するために、OpenClawの最新バージョンにアップデートすることをお勧めします。
これらの脆弱性は重大度が異なり、最も重大なものはリモートコード実行につながる可能性があります。
Openclawとは？
CVE-2026-28363: OpenClawのGNU Long-Option Abbreviationsによる検証バイパス
重大：許可されていないコマンドの実行を許可します。
EPSSスコア0.036は、悪用される可能性が低いことを示しています。
OpenClawのsortに対するtools.exec.safeBins検証は、許可リストモードでGNU long-option abbreviationsを介してバイパスされる可能性があります。これにより、承認が必要な意図しない実行パスが可能になりました。
OpenClawでCVE-2026-28363を修正する方法
直ちにパッチを適用してください- 1.OpenClawをバージョン2026.2.23以降にアップデートしてください。
npm update openclaw回避策： 許可リストモード構成でGNU long-option abbreviationsを使用しないでください。
NextGuardは、OpenClawが監視対象プロジェクトに表示された場合、CVE-2026-28363を自動的にフラグ付けします。手動での検索は不要です。
CVE-2026-28472: OpenClaw Gateway ConnectデバイスIDチェックバイパス
重大：ゲートウェイへの不正アクセスを許可します。
EPSSスコア0.054は、悪用される可能性が低いことを示唆しています。
OpenClawのゲートウェイWebSocket接続ハンドシェイクは、auth.tokenが存在するがまだ検証されていない場合、デバイスIDチェックをスキップする可能性があります。これにより、クライアントは適切なデバイスID検証なしで接続できるようになりました。
OpenClawでCVE-2026-28472を修正する方法
直ちにパッチを適用してください- 1.OpenClawをバージョン2026.2.2以降にアップデートしてください。
npm update openclaw回避策： ゲートウェイWebSocketが信頼できるネットワークおよび信頼できるユーザーからのみ到達可能であることを確認してください。Tailscale Serveを使用する場合は、Tailnetユーザー/ACLを制限してください。
CVE-2026-32030: OpenClawのstageSandboxMediaによる機密ファイル漏洩
高：機密ファイルの漏洩を許可します。
EPSSスコア0.068は、悪用される可能性が低いことを示しています。
OpenClawの`stageSandboxMedia`関数は、iMessageリモート添付ファイルフェッチが有効になっている場合、任意の絶対パスを受け入れ、機密ファイル漏洩につながりました。攻撃者は、受信添付ファイルのパスメタデータに影響を与え、リモートホスト上のOpenClawプロセスで読み取り可能なファイルを漏洩させる可能性があります。
OpenClawでCVE-2026-32030を修正する方法
7日以内にパッチ- 1.OpenClawをバージョン2026.2.19以降にアップデートしてください。
- 2.リモート添付ファイルが不要な場合は、iMessage添付ファイルの取り込みを無効にしてください。
- 3.リモートホストで最小権限でOpenClawを実行してください。
npm update openclaw回避策： リモート添付ファイルが不要な場合は、iMessage添付ファイルの取り込みを無効にしてください。リモートホストで最小権限でOpenClawを実行してください。
CVE-2026-32056: OpenClawシェル起動Envインジェクションはsystem.run許可リストをバイパスします
高：リモートコード実行を許可します。
EPSSスコア0.143は、悪用される可能性が中程度であることを示唆しています。
OpenClawの`system.run`環境サニタイズにより、シェル起動環境のオーバーライド（HOME、ZDOTDIR）が可能になり、コマンドインジェクションにつながりました。攻撃者は、許可リストで評価されたコマンド本体の前にシェル起動ファイルを制御することで、任意のコードを実行する可能性があります。
OpenClawでCVE-2026-32056を修正する方法
24時間以内にパッチを適用してください- 1.OpenClawをバージョン2026.2.22以降にアップデートしてください。
npm update openclawnodejsの脆弱性に先んじてください
nodejsプロジェクトの脆弱性を事前に検出し、修正します。NextGuardを使用してnodejsの依存関係を監視し、新しいCVEに関するアラートを受信します。
プランを比較するよくある質問
最近のOpenClawリリースで複数の脆弱性に対処しました。アプリケーションのセキュリティを確保するために、最新バージョンにアップデートすることが重要です。すべてのnodejsの脆弱性を参照してください。
関連トピック