CVE-2026-28472: RCE in openclaw Gateway WebSocket
プラットフォーム
nodejs
コンポーネント
openclaw
修正版
2026.2.2
openclaw Gateway WebSocketにおいて、認証の検証をバイパスする脆弱性が発見されました。auth.tokenパラメータが存在する場合、デバイスIDのチェックが適切に行われず、不正なクライアントが接続できてしまう可能性があります。この脆弱性は、バージョン2026.2.2以前のopenclawに影響を与えます。バージョン2026.2.2へのアップデートで修正されています。
影響と攻撃シナリオ
この脆弱性を悪用されると、攻撃者は認証なしでopenclaw Gateway WebSocketに接続し、デバイスIDの検証を迂回できます。これにより、攻撃者はシステム上で任意のコードを実行できる可能性があります。特に、Tailscaleなどの共有シークレット認証を使用している環境では、この脆弱性が悪用されるリスクが高まります。攻撃者は、不正なデバイスとしてシステムに侵入し、機密情報を盗んだり、システムを制御したりする可能性があります。この脆弱性は、Log4Shellのような認証バイパス攻撃と同様の深刻度を持つ可能性があります。
悪用の状況
この脆弱性は2026年2月17日に公開されました。現時点では、KEV（Kernel Exploitability Tracking）への登録状況は不明です。EPSS（Exploit Prediction Scoring System）のスコアはまだ評価されていません。公開されているPoC（Proof of Concept）は確認されていませんが、認証バイパスの脆弱性であるため、今後悪用される可能性はあります。NVD（National Vulnerability Database）およびCISA（Cybersecurity and Infrastructure Security Agency）の情報を定期的に確認し、最新の情報を入手してください。
脅威インテリジェンス
エクスプロイト状況
EPSS
0.05% (17% パーセンタイル)
CISA SSVC
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- なし — 認証不要。資格情報なしで悪用可能。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化なし — 影響は脆弱なコンポーネントのみ。
- Confidentiality
- 高 — 機密性の完全喪失。全データが読み取り可能。
- Integrity
- 高 — 任意のデータの書き込み・変更・削除が可能。
- Availability
- 高 — 完全なクラッシュまたはリソース枯渇。完全なサービス拒否。
弱点分類 (CWE)
タイムライン
- 予約済み
- 公開日
- 更新日
- EPSS 更新日
緩和策と回避策
バージョン2026.2.2へのアップデートが最も効果的な対策です。アップデートが困難な場合は、WebSocket接続に対する入ってくるトラフィックを厳密に検証するWAF（Web Application Firewall）またはプロキシルールを実装することを検討してください。具体的には、auth.tokenの存在だけでなく、その有効性も検証するルールを追加します。また、共有シークレット認証の構成を見直し、不正なアクセスを防ぐための追加のセキュリティ対策を講じることを推奨します。アップデート後、接続ログを監視し、不正な接続がないか確認してください。
修正方法翻訳中…
Actualice OpenClaw a la versión 2026.2.2 o posterior. Esta versión corrige la vulnerabilidad que permite omitir la verificación de la identidad del dispositivo durante el handshake de conexión WebSocket del gateway.
よくある質問
CVE-2026-28472 — RCE in openclaw Gateway WebSocketとは何ですか？
CVE-2026-28472は、openclaw Gateway WebSocketにおいて、認証バイパスを可能にするリモートコード実行の脆弱性です。auth.tokenの存在のみでデバイスIDチェックを回避できるため、攻撃者が不正なデバイスとして接続できる可能性があります。
CVE-2026-28472 in openclaw Gateway WebSocketの影響はありますか？
はい、影響があります。認証バイパスにより、攻撃者がシステム上で任意のコードを実行できる可能性があります。特に、Tailscaleなどの共有シークレット認証を使用している環境では、この脆弱性が悪用されるリスクが高まります。
CVE-2026-28472 in openclaw Gateway WebSocketを修正するにはどうすればよいですか？
バージョン2026.2.2へのアップデートが最も効果的な対策です。アップデートが困難な場合は、WAFルールを実装するなど、緩和策を講じることを推奨します。
CVE-2026-28472は積極的に悪用されていますか？
現時点では、公開されているPoCは確認されていませんが、認証バイパスの脆弱性であるため、今後悪用される可能性はあります。最新の情報を常に監視してください。
CVE-2026-28472に関するopenclawの公式アドバイザリはどこで入手できますか？
openclawの公式アドバイザリは、openclawのウェブサイトまたはGitHubリポジトリで確認できます。詳細な情報については、openclawのセキュリティチームにお問い合わせください。
今すぐ試す — アカウント不要
任意のマニフェスト（composer.lock、package-lock.json、WordPressプラグインリストなど）をアップロードするか、コンポーネントリストを貼り付けてください。脆弱性レポートを即座に入手できます。ファイルのアップロードはほんの始まりです。アカウントがあれば、継続的なモニタリング、Slack/メールアラート、マルチプロジェクト、ホワイトラベルレポートが使用できます。
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...