Vulnerabilidades críticas identificadas em 2025–2026 · Gerado em 15 de março de 2026
Vulnerabilidade crítica de execução remota de código sem autenticação. O Control UI do OpenClaw confiava no parâmetro gatewayUrl da query string sem validação, permitindo que um atacante roubasse o token de autenticação com um único clique em um link malicioso. Até instâncias configuradas em localhost eram vulneráveis.
Bypass do isolamento do sandbox Docker após a correção incompleta do CVE-2026-25253. Permitia que um atacante escapasse do container e executasse código na máquina host.
Endpoints da API do gateway sem verificação de autenticação. Pesquisadores da Endor Labs identificaram que diversas rotas internas aceitavam requisições sem token válido, expondo dados sensíveis e operações privilegiadas.
Vulnerabilidade de path traversal que permitia leitura de arquivos arbitrários no sistema de arquivos do servidor. Um atacante autenticado podia acessar arquivos fora do diretório permitido, incluindo chaves privadas e configurações.
Múltiplas vulnerabilidades SSRF permitiam que um atacante manipulasse o servidor para fazer requisições HTTP para redes internas, expondo serviços internos e metadados de cloud (AWS IMDSv1, GCP metadata endpoint, etc.).
Projeto lançado com crescimento rápido de adoção. A filosofia de "deploy fácil" priorizou conveniência em detrimento da segurança.
Primeira vulnerabilidade pública corrigida em v2026.1.25 (25 jan).
Centenas de skills maliciosas publicadas no ClawHub (marketplace oficial). Disfarçadas com documentação profissional, instalavam malwares como AMOS (Atomic macOS Stealer) e keyloggers que exfiltravam API keys.
One-click RCE crítico (CVSS 8.8) e bypass de sandbox Docker corrigidos. Patch incompleto na primeira versão, necessitando v2026.1.30.
SSRF (3 variantes), missing auth, path traversal e outros problemas arquiteturais revelados publicamente.
MIIT e NVDB da China publicam alertas e boas práticas para usuários OpenClaw, recomendando atualização imediata e minimização de exposição à internet.
Agentes OpenClaw com acesso à web foram manipulados por páginas contendo instruções maliciosas embutidas. O agente executava comandos não autorizados, vazava chaves de API e realizava ações em nome do usuário sem consentimento.
O marketplace oficial ClawHub foi utilizado como vetor de distribuição de malware. Skills com documentação convincente escondiam código que:
openclaw.json para servidores externosMilhares de instâncias com gateway exposto em 0.0.0.0 sem autenticação foram indexadas e exploradas. Pesquisadores encontraram tokens de autenticação, chaves de API e arquivos de configuração completos publicamente acessíveis.
127.0.0.1 (loopback) — não exposto à internetpairing — apenas dispositivos autorizados.env com chmod 600)0.0.0.0 — use Tailscale ou Cloudflare Tunnelopenclaw.json — use variáveis de ambiente