OpenClaw CVE-2026-25253：RCE脆弱性と安全を守る方法

2026年初頭、セキュリティ研究者がCVE-2026-25253を公開しました — OpenClawのゲートウェイにおける重大なリモートコード実行の脆弱性です。21,000以上のインスタンスがインターネット上で露出していることが判明しました。知っておくべきことを解説します。

何が起きたか

この脆弱性により、攻撃者はゲートウェイエンドポイントへの細工されたAPIリクエストを通じて、OpenClawインスタンス上で任意のコードを実行できます。CVSSスコア8.8（高）のワンクリックRCEです。

影響を受ける対象

• ゲートウェイポートがインターネットに公開されているすべてのOpenClawインスタンス
• パッチ適用済みリリース以前のバージョンを実行しているインスタンス
• 特にリバースプロキシ保護のないセルフホスティングインスタンス

影響を受けない対象

• ゲートウェイアクセスを制限する適切に設定されたリバースプロキシ（Caddy、Nginx）の背後にあるインスタンス
• すべてのエンドポイントで認証が有効なインスタンス
• パッチを自動的に適用するマネージドホスティング

脆弱性があるか確認する方法

バージョンの確認

openclaw --version

パッチ前にリリースされたバージョンを実行している場合は、直ちにアップデートしてください。

ゲートウェイが公開されているか確認

curl -I https://your-instance.com/gateway

ネットワーク外部からレスポンスが返ってくる場合、ゲートウェイが公開されています。

悪用の兆候を確認

ログで異常なアクティビティを確認します：

openclaw logs --filter gateway | grep -i "unexpected\|error\|unauthorized"

修正方法

ステップ1：OpenClawをアップデート

openclaw update

またはDockerを使用している場合：

docker pull openclaw/openclaw:latest
docker restart openclaw

ステップ2：リバースプロキシの確認

リバースプロキシ（Caddy、Nginx）が必要なパスのみ転送していることを確認します：

Caddyの例：

your-domain.com {
    reverse_proxy localhost:3000
    # 外部からの直接ゲートウェイアクセスをブロック
}

ステップ3：認証を有効にする

すべてのゲートウェイエンドポイントが認証を要求していることを確認します。設定を確認します：

openclaw config get gateway.auth

ステップ4：ネットワークアクセスを制限する

可能であれば、ゲートウェイをlocalhostのみにバインドし、リバースプロキシ経由でアクセスします：

openclaw config set gateway.host "127.0.0.1"

なぜこれが繰り返されるのか

セルフホスティングのAIエージェントは根本的な課題に直面しています：ほとんどのユーザーはセキュリティの専門家ではありません。よくあるミス：

• ゲートウェイポートをインターネットに直接公開する
• デフォルトの認証情報を使用する
• セキュリティアップデートを速やかに適用しない
• リバースプロキシなしで実行する
• 認証を有効にしない

これらはそれぞれ潜在的な攻撃ベクトルです。

マネージドホスティングがどう役立つか

ClawTankはこれらの脆弱性から設計段階で保護します：

• 自動アップデート — セキュリティパッチを即座に適用
• リバースプロキシ — 自動TLS付きのCaddyがすべてのコンテナの前に配置
• コンテナ分離 — 1つのインスタンスが侵害されても、他は安全
• ネットワーク制限 — ゲートウェイポートがインターネットに公開されない
• 認証の強制 — すべてのエンドポイントがデフォルトで認証を要求

セキュリティの専門家である必要はありません。マネージドホスティングが対応します。

より広い教訓

AIエージェントは強力ですが、攻撃対象領域を拡大します。実行中のすべてのインスタンスが潜在的なターゲットです。OpenClawコミュニティは積極的にセキュリティを改善していますが、セキュリティの専門家でない方にとって最も安全なアプローチはマネージドホスティングです。

保護された状態を維持する

ClawTankにデプロイすれば、セキュリティパッチは自動的に適用され、コンテナ分離、リバースプロキシ、認証の強制によってインスタンスが保護されます。AIエージェントのセキュリティではなく、使うことに集中しましょう。