OpenClaw-Kette: Schwachstellen gefährden 245.000 öffentliche KI-Agenten-Server

CVE-2026-44118 (CVSS 7.8 – Hoch): OpenClaw vertraut einem vom Client gesteuerten Eigentumsflag (senderIsOwner) blind, ohne dies mit der authentifizierten Sitzung abzugleichen; dies ermöglicht einem lokalen Prozess mit einem gültigen Bearer-Token die Eskalation bis hin zur Eigentümer-Ebene der Kontrolle über die Gateway-Konfiguration, die Planung und das Ausführungsmanagement.

CVE-2026-44113 (CVSS 7.7 – High): Das gleiche TOCTOU-Rennenbedingungs-Muster in Leseoperationen ermöglicht es Angreifern, validierte Dateipfade durch symbolische Links zu austauschen, die außerhalb des erlaubten Mount-Wurzelbereichs verweisen, wodurch Systemdateien und interne Artefakte exponiert werden, auf die der Agent niemals zugreifen sollte.

Obwohl jeder Fehler für sich genommen ein gewisses Gewicht hat, ist ihre kombinierte Wirkung, die „Claw Chain" bezeichnet wird, weitaus besorgniserregender. Aus einer einzigen Angriffsfläche, wie beispielsweise einem bösartigen Plugin, einer Prompt-Injection oder kompromittierten externen Eingaben, kann ein Angreifer drei Schwachstellen parallel verknüpfen:

Angriffsfläche (Foothold): Erreichen der Codeausführung innerhalb

Angriffsfläche (Foothold): Erreichen der Codeausführung innerhalb des OpenShell-Sandbox durch ein bösartiges Plugin oder eine Prompt-Injection

Datenexfiltration: Ausnutzen 2026-44113 und CVE-2026-44115 zur Sammlung, Geheimnissen und sensiblen Dateien

Privilegien-Eskalation: Ausnutzen 2026-44118 zur Erhöhung der Berechtigungen auf die Ebene des Agentenbetreibers für die Agenten- Laufzeitumgebung

Persistenz: Einsatz 2026-44112 zum Einrichten üren

Persistenz: Einsatz 2026-44112 zum Einrichten üren und zur Modifikation des zukünftigen Verhaltens des Agenten Besonders gefährlich ist diese Angriffsfolge, weil der Angreifer die eigenen Berechtigungen des KI-Agenten missbraucht. Jeder Schritt imitiert normales Agentenverhalten, was die Erkennung durch herkömmliche Sicherheitskontrollen erheblich erschwert. Scans Mai 2026 zeigen jeweils etwa 65.000 bzw.

180.000 öffentlich zugängliche OpenClaw-Instanzen, was insgesamt rund 245.000 exponierte Server ergibt. Unternehmen in den Bereichen Finanzdienstleistungen, Gesundheitswesen und Recht stehen vor dem höchsten Risiko, insbesondere dort, wo Agenten-Workflows personenbezogene Daten (PII), gesundheitsbezogene Daten (PHI) oder privilegierte Zugangsdaten verarbeiten.

Organisationen, die OpenClaw einsetzen, sollten dies als Prioritäts-1-Warnung behandeln:

Führen Sie sofort Patches ein, indem

Führen Sie sofort Patches ein, indem Sie die vom 23. April 2026 veröffentlichten Sicherheitsupdates für GHSA-5h3g-6xhh-rg6p, GHSA-wppj-c6mr-83jj, GHSA-r6xh-pqhr-v4xh und GHSA-x3h8-jrgh-p8jx anwenden.

Rotieren Sie alle Geheimnisse – gehen Sie davon aus, dass jede Umgebungsvariable oder jedes kompromittiert sein könnte.

Identifizieren Sie exponierte Instanzen mittels Shodan-Scans oder interner Inventarlisten und stellen Sie diese hinter Authentifizierungs- oder Firewall-Kontrollen.

Prüfen Sie den Zugriff der Agenten und behandeln Sie OpenClaw-Deployments als privilegierte Identitäten, die denselben Lebenszyklus-Kontrollen unterliegen wie Service-Accounts. Sie uns auf