CVE-2026-3690は、OpenClawのCanvasエンドポイントにおける認証機能の実装に起因する認証回避の脆弱性です。この脆弱性を悪用されると、認証なしでリモートの攻撃者がシステムにアクセスできるようになります。影響を受けるバージョンはOpenClaw 2026.2.17です。現時点では公式なパッチは提供されていません。
OpenClawのCVE-2026-3690は、リモート攻撃者が認証をバイパスすることを可能にする重大な脆弱性です。これは、canvasエンドポイントの認証機能の実装に不備があることが原因です。攻撃者はこの脆弱性を悪用して、通常の認証プロセスを経ることなくシステムにアクセスし、機密データへの不正アクセスやシステム構成の操作につながる可能性があります。この脆弱性の深刻度はCVSSで7.4と評価されており、重大なリスクを示しています。現在、修正プログラムが利用できないことは、状況をさらに悪化させており、即時の予防措置を講じる必要があります。
CVE-2026-3690は、OpenClawのcanvasエンドポイントの認証ロジックの脆弱性を悪用することでエクスプロイトされます。攻撃者はこれらの機能にアクセスするために有効な認証情報が必要ありません。エクスプロイトには、認証コントロールを回避するように設計された悪意のあるリクエストを送信することが含まれる可能性が高くなります。元のレポート（ZDI-CAN-29311）は、脆弱性が認証機能の実装に存在することを示唆しており、入力パラメータを操作したり、特定のスクリプトを実行したりすることで脆弱性を悪用できる可能性があります。KEV（Kernel Exploit Verification）がないことは、制御された環境でのエクスプロイト検証が進行中であることを示唆していますが、CVSSの深刻度評価は、エクスプロイトの可能性を示しています。
Organizations utilizing OpenClaw for any purpose, particularly those relying on its authentication mechanisms for access control, are at risk. This includes environments where OpenClaw is exposed to external networks or untrusted users. Legacy configurations or deployments without proper network segmentation are particularly vulnerable.
disclosure
エクスプロイト状況
EPSS
0.16% (37% パーセンタイル)
CISA SSVC
CVSS ベクトル
CVE-2026-3690に対する修正プログラムがOpenClawで利用できないため、軽減策は補完的なセキュリティ対策に焦点を当てています。影響を受けたOpenClawインスタンスをセグメント化されたネットワーク上に隔離することを強くお勧めします。これにより、エクスプロイトの影響を制限できます。また、システムを継続的に監視して、不審なアクティビティを検出することも重要です。可能であれば、公式なパッチがリリースされるまで、一時的にcanvas機能を無効にすることを検討してください。OpenClawのセキュリティアップデートに関する情報を常に把握し、利用可能になり次第、パッチを迅速に適用することが不可欠です。堅牢なファイアウォールと厳格なアクセスルールを実装することで、リスクをさらに軽減できます。
Actualice OpenClaw a la versión corregida. Revise la documentación oficial de OpenClaw o el repositorio de GitHub para obtener instrucciones específicas de actualización. Asegúrese de que la implementación de la autenticación se revise y fortalezca para prevenir futuros bypasses.
脆弱性分析と重要アラートをメールでお届けします。
これは、攻撃者が有効なユーザー名とパスワードを必要とせずに、システムまたは特定の機能にアクセスできることを意味します。
修正プログラムがないため、システムを隔離し、アクティビティを監視し、可能であればcanvas機能を無効にしてください。セキュリティアップデートに関する情報を常に把握してください。
KEVがないにもかかわらず、CVSSスコアが7.4であるため、この脆弱性はアクティブで悪用可能です。
修正プログラムのリリース予定日はありません。OpenClawのウェブサイトで最新情報を確認してください。
これは、Zero Day Initiative（ZDI）に提出された元の脆弱性レポートの識別子です。