OpenClawで複数の重大な脆弱性が発見され、リモートコード実行や権限昇格につながる可能性があります。これらの脆弱性は2026.3.11より前のバージョンに影響します。これらのリスクを軽減するために、直ちにパッチを適用することを強くお勧めします。
これらのCVEは重大度スコアが高く、悪用やシステム侵害のリスクが高いことを示しています。
Openclawとは？
CVE-2026-28466: ノード呼び出し承認バイパスによるリモートコード実行
重大度：最小限の前提条件でリモートコード実行が可能。
EPSSスコアは0.099で、悪用される可能性は中程度であることを示しています。
この脆弱性により、有効なゲートウェイ認証情報を持つ攻撃者は、system.runコマンドのexec承認ゲーティングをバイパスできます。承認制御フィールドを注入することで、攻撃者は接続されたノードホスト上で任意のコマンドを実行できます。
OpenclawでCVE-2026-28466を修正する方法
直ちにパッチを適用してください- 1.OpenClawをバージョン2026.2.14以降にアップデートしてください。
composer update openclaw回避策： 既知の回避策はありません。
NextGuardは、Openclawが監視対象プロジェクトに表示される場合、CVE-2026-28466を自動的にフラグ付けします。手動での検索は不要です。
CVE-2026-28470: 二重引用符内のコマンド置換によるExec許可リストのバイパス
重大度：許可リストのバイパスを介して任意のコマンド実行が可能。
EPSSスコアは0.092で、悪用される可能性は中程度であることを示しています。
この脆弱性により、攻撃者は二重引用符で囲まれた文字列内にコマンド置換構文を注入することで、exec承認許可リストをバイパスできます。攻撃者はエスケープされていない$()またはバッククォートを埋め込んで、不正なコマンドを実行できます。
OpenclawでCVE-2026-28470を修正する方法
直ちにパッチを適用してください- 1.OpenClawをバージョン2026.2.2以降にアップデートしてください。
composer update openclaw回避策： exec承認を無効にするか、コマンド置換を防ぐために入力を注意深くサニタイズしてください。
NextGuardは、Openclawが監視対象プロジェクトに表示される場合、CVE-2026-28470を自動的にフラグ付けします。手動での検索は不要です。
CVE-2026-32922: device.token.rotateにおける未検証スコープによる権限昇格
重大度：管理者レベルへの権限昇格が可能。
EPSSスコアは0.214で、悪用される可能性が比較的高いことを示しています。
この脆弱性により、operator.pairingスコープを持つ攻撃者は、より広範なスコープを持つトークンを作成できます。新しく作成されたスコープを制約しないことで、攻撃者はペアリングされたデバイスのoperator.adminトークンを取得できます。
OpenclawでCVE-2026-32922を修正する方法
直ちにパッチを適用してください- 1.OpenClawをバージョン2026.3.11以降にアップデートしてください。
composer update openclaw回避策： device.token.rotate APIへのアクセスを制限し、スコープを注意深く検証してください。
NextGuardは、Openclawが監視対象プロジェクトに表示される場合、CVE-2026-32922を自動的にフラグ付けします。手動での検索は不要です。
よくある質問
これらの脆弱性は、OpenClawのデプロイメントに重大なリスクをもたらします。必要なパッチを適用し、他のすべての脆弱性を確認して、安全な環境を維持してください。依存関係を定期的に監視することが重要です。
関連トピック