CVE-2026-28472: WebSocket身份验证绕过漏洞在OpenClaw
平台
nodejs
组件
openclaw
修复版本
2026.2.2
CVE-2026-28472描述了OpenClaw网关WebSocket连接处理中的身份验证绕过漏洞。该漏洞允许攻击者在未验证共享密钥的情况下连接，从而绕过设备身份验证。此漏洞影响OpenClaw版本低于2026.2.2。建议立即升级到2026.2.2版本以缓解风险。
影响与攻击场景
该漏洞的潜在影响非常严重。攻击者可以利用此漏洞绕过身份验证，未经授权地访问OpenClaw网关。这可能导致敏感数据泄露、恶意代码执行，甚至完全控制受影响的系统。由于WebSocket连接通常用于控制和管理设备，因此攻击者可以利用此漏洞控制连接到网关的设备，造成广泛的破坏。攻击者可能利用此漏洞窃取设备配置信息、篡改设备数据，甚至远程控制设备。
利用背景
目前，该漏洞的公开利用信息有限，但由于其严重性，预计未来可能会出现公开的利用代码。该漏洞已在2026年2月17日发布，目前尚未观察到大规模的利用活动。根据NVD的评估，该漏洞的风险等级较高，需要高度关注。建议持续关注安全社区的动态，及时获取最新的威胁情报。
威胁情报
漏洞利用状态
EPSS
0.05% (17% 百分位)
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 无 — 无需认证，无需凭证即可利用。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 高 — 攻击者可写入、修改或删除任何数据。
- Availability
- 高 — 完全崩溃或资源耗尽，完全拒绝服务。
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- 修改日期
- EPSS 更新日期
缓解措施和替代方案
缓解此漏洞的首要措施是立即将OpenClaw升级到2026.2.2或更高版本。如果升级过程不可行或导致系统不稳定，可以考虑以下临时缓解措施：首先，严格限制对网关WebSocket的访问，仅允许受信任的客户端连接。其次，实施额外的身份验证层，例如双因素身份验证，以增加攻击难度。第三，监控WebSocket连接，检测异常活动，并及时响应。最后，审查并加强OpenClaw的配置，确保所有安全设置都已正确配置。
修复方法翻译中…
Actualice OpenClaw a la versión 2026.2.2 o posterior. Esta versión corrige la vulnerabilidad que permite omitir la verificación de la identidad del dispositivo durante el handshake de conexión WebSocket del gateway.
常见问题
什么是CVE-2026-28472 — WebSocket身份验证绕过漏洞在OpenClaw?
CVE-2026-28472描述了OpenClaw网关WebSocket连接处理中的身份验证绕过漏洞，允许攻击者在未验证共享密钥的情况下连接。该漏洞的CVSS评分为9.8（严重），影响OpenClaw版本低于2026.2.2。
我是否受到CVE-2026-28472在OpenClaw中的影响?
如果您正在使用OpenClaw版本低于2026.2.2，则可能受到此漏洞的影响。请立即检查您的OpenClaw版本并升级。
如何修复CVE-2026-28472在OpenClaw中的漏洞?
修复此漏洞的最佳方法是立即将OpenClaw升级到2026.2.2或更高版本。如果升级不可行，请实施临时缓解措施，例如限制WebSocket访问和加强身份验证。
CVE-2026-28472是否正在被积极利用?
目前尚未观察到大规模的利用活动，但由于其严重性，预计未来可能会出现公开的利用代码。建议持续关注安全社区的动态。
在哪里可以找到OpenClaw官方关于CVE-2026-28472的公告?
请访问OpenClaw官方网站或GitHub仓库，查找关于CVE-2026-28472的官方安全公告。
立即试用 — 无需账户
上传任意清单文件（composer.lock、package-lock.json、WordPress插件列表等）或粘贴组件列表，即可立即获得漏洞报告。上传文件只是开始：注册账号后，您将获得持续监控、Slack/邮件提醒、多项目管理和白标报告等功能。
拖放您的依赖文件
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...