プラットフォーム
nodejs
コンポーネント
openclaw
修正版
2026.3.25
2026.3.28
CVE-2026-35629は、openclawの複数のチャンネル拡張に存在するサーバーサイドリクエストフォージェリ（SSRF）脆弱性です。この脆弱性により、攻撃者は設定されたベースURLを介して内部リソースにアクセスし、機密情報を盗んだり、システムを操作したりする可能性があります。影響を受けるバージョンは2026.3.24以下であり、2026.3.28で修正されました。
このSSRF脆弱性は、攻撃者がopenclawアプリケーションがアクセスできる内部ネットワークリソースにアクセスすることを可能にします。攻撃者は、内部APIエンドポイント、データベース、または他の機密情報を含むサービスをターゲットにすることができます。成功した場合、攻撃者は認証情報を盗み、設定を変更し、さらにはシステムを完全に制御する可能性があります。この脆弱性は、CVE-2026-28476の不完全な修正に関連しており、同様の攻撃パターンが利用される可能性があります。
この脆弱性は、2026年3月29日に公開されました。現時点では、公開されているPoCは確認されていませんが、SSRF脆弱性は一般的に悪用されやすく、攻撃者による活発なスキャンや悪用が予想されます。CISA KEVカタログへの登録状況は不明です。
Applications utilizing the openclaw Node.js package in their backend infrastructure are at risk. This includes projects relying on openclaw for channel extension functionality, particularly those with configurations allowing for flexible base URL settings. Shared hosting environments where openclaw is installed and configured by the hosting provider are also potentially vulnerable.
• nodejs / server:
npm list openclawThis command will list installed versions of openclaw. Check if the version is <= 2026.3.24. • nodejs / server:
grep -r 'fetchWithSsrFGuard' ./node_modules/openclaw/Search for the fetchWithSsrFGuard function within the openclaw module. Its presence indicates the fix is applied.
• generic web:
Review application logs for unusual outbound requests originating from the server, especially those targeting internal IP addresses or sensitive internal endpoints.
disclosure
エクスプロイト状況
EPSS
0.04% (12% パーセンタイル)
CISA SSVC
この脆弱性への主な軽減策は、openclawをバージョン2026.3.28以降にアップグレードすることです。アップグレードがシステムに影響を与える場合は、一時的な回避策として、信頼できないソースからのリクエストをブロックするWAF（Web Application Firewall）またはプロキシルールを実装することを検討してください。また、fetchWithSsrFGuard関数が正しく使用されていることを確認し、チャンネル拡張の設定を慎重に確認してください。アップグレード後、fetchWithSsrFGuardがすべての関連するリクエストで使用されていることを確認することで脆弱性が修正されていることを検証してください。
サーバーサイドリクエストフォージェリ (SSRF) の脆弱性を軽減するために、OpenClaw をバージョン 2026.3.25 以降にアップデートしてください。このアップデートは、チャンネル拡張機能における保護されていない fetch() 呼び出しを修正し、承認されていないリソースへの不正アクセスを防ぎます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-35629は、openclawの複数のチャンネル拡張におけるサーバーサイドリクエストフォージェリ（SSRF）脆弱性です。攻撃者は、設定されたベースURLを介して内部リソースにアクセスできる可能性があります。
openclawのバージョンが2026.3.24以下の場合、この脆弱性の影響を受けます。バージョン2026.3.28以降にアップグレードすることで修正されます。
openclawをバージョン2026.3.28以降にアップグレードしてください。アップグレードが困難な場合は、WAFルールで内部リソースへのアクセスを制限するなどの回避策を検討してください。
現時点では、公開されている悪用事例は確認されていませんが、SSRF脆弱性は一般的に悪用されやすい脆弱性であるため、活発なスキャンや悪用が予想されます。
openclawの公式アドバイザリは、プロジェクトのウェブサイトまたはGitHubリポジトリで確認してください。