プラットフォーム
nodejs
コンポーネント
openclaw
修正版
2026.2.12
CVE-2026-28482は、OpenClawのバージョン0から2026.2.12までのバージョンに存在するパス・トラバーサル脆弱性です。攻撃者は、sessionIdやsessionFileパラメータに悪意のあるパスを注入することで、OpenClawエージェントのセッションディレクトリ外のファイルを読み書きすることが可能です。この脆弱性は、認証された攻撃者によって悪用される可能性があり、機密情報の漏洩や改ざんにつながる可能性があります。バージョン2026.2.12へのアップデートで修正されています。
この脆弱性を悪用されると、攻撃者はOpenClawエージェントのセッションディレクトリ外の任意のファイルを読み書きできるようになります。例えば、/etc/passwdのようなシステムファイルを読み取ることで、ユーザー名やハッシュ化されたパスワードなどの機密情報を窃取する可能性があります。また、重要な設定ファイルやログファイルを改ざんすることで、システムの動作を妨害したり、不正な操作を実行したりすることも考えられます。この脆弱性は、OpenClawエージェントがファイルシステムへのアクセス権を持つ環境で特に危険です。攻撃者は、この脆弱性を利用して、OpenClawエージェントが動作しているサーバーへのアクセス権を取得し、さらなる攻撃を仕掛ける可能性があります。
この脆弱性は、2026年3月5日に公開されました。現時点では、公的なPoC（Proof of Concept）は確認されていませんが、パス・トラバーサル脆弱性であるため、悪用される可能性は否定できません。CISA KEVカタログへの登録状況は不明です。攻撃者は、この脆弱性を利用して、OpenClawエージェントが動作しているシステムへの不正アクセスを試みる可能性があります。
Organizations utilizing OpenClaw for agent management, particularly those with legacy configurations or shared hosting environments, are at risk. Environments where OpenClaw interacts with sensitive data or critical infrastructure are especially vulnerable and should prioritize patching.
disclosure
エクスプロイト状況
EPSS
0.02% (4% パーセンタイル)
CISA SSVC
OpenClawのバージョンを2026.2.12以降にアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートがすぐに適用できない場合は、OpenClawエージェントのセッションディレクトリへのアクセス権を制限するなどの緩和策を講じる必要があります。また、WAF（Web Application Firewall）やIPS（Intrusion Prevention System）などのセキュリティデバイスを導入し、悪意のあるパス・トラバーサル攻撃を検知・防御することも有効です。OpenClawのログを監視し、不審なアクセスやファイル操作を検知することも重要です。アップデート後、OpenClawエージェントが正常に動作し、機密ファイルへの不正アクセスがないことを確認してください。
Actualice OpenClaw a la versión 2026.2.12 o posterior. Esta versión corrige las vulnerabilidades de path traversal al sanitizar los parámetros sessionId y sessionFile, previniendo el acceso no autorizado a archivos fuera del directorio de sesiones del agente.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-28482は、OpenClawのsessionIdやsessionFileパラメータの不適切な処理により、認証された攻撃者が機密ファイルを読み書きできるパス・トラバーサル脆弱性です。
OpenClawのバージョンが0から2026.2.12までの場合は、影響を受けます。バージョン2026.2.12以降にアップデートしてください。
OpenClawをバージョン2026.2.12以降にアップデートしてください。アップデートがすぐに適用できない場合は、セッションディレクトリへのアクセス権を制限するなどの緩和策を講じてください。
現時点では、公的なPoCは確認されていませんが、悪用される可能性は否定できません。
OpenClawの公式アドバイザリは、OpenClawのウェブサイトまたはGitHubリポジトリで確認できます。
CVSS ベクトル