プラットフォーム
nodejs
コンポーネント
openclaw
修正版
2026.3.1
2026.3.1
CVE-2026-32041は、OpenClawにおける認証バイパスの脆弱性です。認証情報なしでブラウザ制御ルートにアクセスされることで、評価可能なアクションを含む機密情報漏洩や不正操作のリスクがあります。影響を受けるバージョンはOpenClawの初期バージョンです。2026年3月2日に公開され、2026.3.1で修正されました。
この脆弱性を悪用されると、ローカルプロセス、またはSSRF（Server-Side Request Forgery）経由で認証なしにブラウザ制御ルートにアクセスできてしまいます。これにより、攻撃者はevaluate機能など、ブラウザの実行環境を操作できる機能にアクセスし、JavaScriptコードの実行や、機密情報の窃取、さらにはシステムへの不正なアクセスを試みる可能性があります。特に、OpenClawが内部ネットワークに露出している場合、外部からの攻撃リスクも考慮する必要があります。攻撃者は、ブラウザ制御ルートを介して、OpenClawの内部構造を調査し、他の脆弱性を発見する可能性もあります。
この脆弱性は2026年3月2日に公開され、現時点では公的なPoC（Proof of Concept）は確認されていません。CISA KEVカタログへの登録状況は不明です。しかし、SSRF経由での認証バイパスは、他のシステムでも悪用事例が見られるため、注意が必要です。攻撃者は、この脆弱性を利用して、OpenClawの内部ネットワークにアクセスし、他のシステムへの攻撃を試みる可能性があります。
Organizations deploying OpenClaw in environments with potential SSRF vulnerabilities are at the highest risk. This includes deployments where the OpenClaw instance has access to internal services or resources that could be leveraged for SSRF attacks. Shared hosting environments where multiple users share the same OpenClaw instance are also at increased risk.
• nodejs / server:
ps aux | grep openclaw• nodejs / server:
npm list -g openclaw• nodejs / server:
journalctl -u openclaw --since "1 hour ago"• generic web:
curl -I http://<openclaw_host>/browser-control/evaluate• generic web:
grep -r "browser-control/evaluate" /var/log/nginx/access.logdisclosure
エクスプロイト状況
EPSS
0.02% (4% パーセンタイル)
CISA SSVC
CVSS ベクトル
OpenClawのバージョンを2026.3.1以降にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、ブラウザ制御ルートへのアクセスを制限するファイアウォールルールやWAF（Web Application Firewall）の設定を検討してください。また、OpenClawの起動時に明示的な認証情報を設定し、自動認証の試行を無効化することで、脆弱性の悪用を防止できます。アップデート後、ブラウザ制御ルートへのアクセスを試み、認証が要求されることを確認することで、修正が正しく適用されていることを検証できます。
OpenClawをバージョン2026.3.1以降にアップデートしてください。これにより、初期認証プロセスにおける不備により、ブラウザの制御パスへの未認証アクセスを可能にする脆弱性が修正されます。(unauthenticated access to browser control paths)
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-32041は、OpenClawの認証情報なしでブラウザ制御ルートにアクセスできる脆弱性です。これにより、攻撃者は評価可能なアクションを実行できる可能性があります。
OpenClawの初期バージョンを使用している場合は、影響を受ける可能性があります。2026.3.1以降にアップデートすることで、この脆弱性を修正できます。
OpenClawをバージョン2026.3.1以降にアップデートしてください。アップデートが困難な場合は、ブラウザ制御ルートへのアクセスを制限するファイアウォールルールを設定してください。
現時点では公的なPoCは確認されていませんが、SSRF経由での認証バイパスは他のシステムでも悪用事例が見られるため、注意が必要です。
OpenClawの公式アドバイザリは、OpenClawのウェブサイトまたはGitHubリポジトリで確認できます。