OpenClaw: 18 Schwachstellen mit CVSS 9.8 — CERT-Bund warnt vor kritischen Sicherheitslücken

Das BSI hat am 30. März 2026 unter der Kennung WID-SEC-2026-0930 eine kritische Warnung für OpenClaw veröffentlicht. 18 Schwachstellen, 8 CVEs, CVSS Base Score 9.8. Remoteangriffe sind möglich. Betroffen sind alle Versionen vor 2026.3.28. Ein Update ist sofort verfügbar und sollte unverzüglich eingespielt werden.

Überblick

OpenClaw ist ein Open-Source-KI-Assistent, der auf eigener Infrastruktur läuft — auf Servern, Laptops, Raspberry Pis oder VPS-Instanzen. Die Software verarbeitet Nachrichten aus Telegram, Discord, WhatsApp, Slack und weiteren Kanälen, führt Shell-Befehle auf dem Host aus, steuert Browser und hat Zugriff auf Dateisysteme.

Diese Architektur macht OpenClaw zu einem attraktiven Ziel: Wer die Plattform kompromittiert, hat potenziell Zugriff auf alles, was der Host bietet. Die jetzt veröffentlichten Schwachstellen ermöglichen genau das — vom SSRF über interne Netzwerke bis zur vollständigen Codeausführung über manipulierte Gateway-Credentials.

CERT-Bund Bewertung:

Die CVEs im Detail

Insgesamt 8 CVEs und 18 GitHub Security Advisories decken Schwachstellen in fünf Kategorien ab:

1. Remote Code Execution und Credential-Diebstahl

Die schwerwiegendste Schwachstelle betrifft das Remote Onboarding der CLI. Bei der Ersteinrichtung akzeptierte OpenClaw entdeckte Gateway-Endpunkte ohne explizite Vertrauensbestätigung. Ein Angreifer konnte einen gefälschten Discovery-Endpunkt betreiben, das Onboarding auf sein eigenes Gateway umleiten und so alle zukünftigen Gateway-Credentials abfangen.

Das Risiko: Wer die Gateway-Credentials hat, kontrolliert den gesamten Assistenten — inklusive Shell-Zugriff, Dateisystem, Messaging-Kanäle und angeschlossene Dienste.

Ergänzend dazu: Die Host-Environment-Blocklist blockierte nicht die Umgebungsvariablen GIT_TEMPLATE_DIR und AWS_CONFIG_FILE. Dadurch konnte ein genehmigter Shell-Befehl Git oder die AWS CLI auf angreifergesteuerte Konfiguration umleiten — und so untrusted Code ausführen oder fremde Credentials laden. Gemeldet von Tencent zhuque Lab.

2. Server-Side Request Forgery (SSRF)

Zwei Schwachstellen ermöglichten SSRF-Angriffe:

• Der fal Image-Provider nutzte ungefilterte HTTP-Requests für heruntergeladene Bilder. Ein kompromittierter fal-Relay konnte das Gateway dazu bringen, interne URLs abzurufen und Metadaten oder Service-Responses über die Image-Pipeline nach außen zu leiten.
• Der SSRF-Guard für IPv6 klassifizierte mehrere spezielle IPv6-Adressbereiche fälschlich als öffentlich. Angreifer konnten interne IPv6-Ziele treffen, die eigentlich blockiert sein sollten. Ebenfalls von Tencent zhuque Lab gemeldet.

3. Privilege Escalation und Rechteumgehung

Mehrere Schwachstellen ermöglichten es Nutzern mit eingeschränkten Rechten, höhere Privilegien zu erlangen:

4. Authentifizierungs- und Autorisierungs-Bypasses

5. Informationsabfluss und Sandbox-Escapes

Vollständige CVE-Liste

Wer ist betroffen?

Jeder, der OpenClaw selbst hostet — ob auf einem VPS, einem Homeserver, einem Raspberry Pi oder einem Laptop. Die Schwachstellen betreffen die Kernkomponenten: Gateway-Authentifizierung, Exec-Approvals, Node-Pairing, Channel-Integrationen und Sandbox-Isolierung.

Besonders relevant für Unternehmen, die OpenClaw als internen KI-Assistenten einsetzen oder über Messaging-Kanäle (Discord, Telegram, Slack) verfügbar machen. Die Discord-Bypasses und Gateway-Auth-Schwachstellen setzen hier direkte Angriffsfläche frei.

Sofort-Update durchführen

Version prüfen

openclaw --version

Alles unter 2026.3.28 ist betroffen.

Update installieren

# Auf die neueste stabile Version updaten
npm install -g openclaw@latest

# Gateway neu starten (wenige Sekunden Downtime)
openclaw gateway restart

# Version bestätigen
openclaw --version

Die aktuell neueste Version ist 2026.3.31. Sie enthält alle Security-Fixes aus 2026.3.28 plus zusätzliche Verbesserungen.

Was wurde gefixt?

Version 2026.3.28 enthält umfangreiche Security-Hardening-Maßnahmen:

• Gateway-Auth: Trusted-Proxy rejectiert Mixed-Token-Configs, Local-Direct erfordert expliziten Token
• Node-Pairing: Scope-Validierung bei Genehmigungen, Geräte-Befehle erst nach Pairing-Approval aktiv
• Exec-Approvals: Carrier-Executable-Erkennung, Discord-Approver-Allowlist wird durchgesetzt
• SSRF-Guard: IPv6-Sonderbereiche blockiert, fal-Provider nutzt gefilterte Fetches
• Sandbox: Media-Alias-Parameter durchlaufen LocalRoots-Validierung, jq-$ENV blockiert
• Channel-Security: Discord-Policy-Gates für Component-Interactions, Zalo/Google-Chat-Allowlist-Korrekturen
• Session-Management: Revoked Devices werden sofort disconnected, Replay-Cache canonicalized
• Plugin-Installationen: Dangerous-Code-Findings blockieren jetzt standardmäßig

Lehren für Self-Hosted-KI-Infrastruktur

Dieser Vorfall zeigt: Self-Hosted-KI-Assistenten sind kein "set and forget". Sie haben dieselben Sicherheitsanforderungen wie jede andere Serveranwendung — mit dem Unterschied, dass sie typischerweise weitreichende Berechtigungen auf dem Host haben:

1. Regelmäßig updaten. OpenClaw hat einen schnellen Release-Zyklus. Wer Wochen zurückliegt, akkumuliert Risiko.
2. Gateway nicht direkt ins Internet. Immer hinter einem Reverse-Proxy mit TLS betreiben. Rate-Limiting aktivieren.
3. Exec-Approvals restriktiv konfigurieren. Nicht jeden Befehl automatisch genehmigen. Allowlists pflegen.
4. Node-Pairing nur über vertrauenswürdige Netzwerke. Das Onboarding ist jetzt abgesichert, aber grundsätzlich gilt: Pairing-Tokens und Gateway-Credentials gehören nicht in unsichere Kanäle.
5. Monitoring einrichten. CERT-Bund Advisories abonnieren. GitHub Security Advisories für genutzte Software beobachten.
6. Least Privilege. OpenClaw nicht als Root laufen lassen. Eigenen User mit eingeschränkten Rechten verwenden.