OpenClawに3件の脆弱性、WhatsApp経由でホスト侵害につながる恐れ

個人向けAIアシスタント「OpenClaw」に、コマンド実行やサンドボックスの制限回避につながる3件の脆弱性が確認されました。研究者は、構成条件によってはWhatsAppから送られた外部メッセージを起点に、認証情報の窃取や権限昇格、ホスト上でのコード実行へ発展する可能性があると報告しています。3件はいずれもOpenClaw 2026.6.6で修正されています。

The Hacker News：Researcher Details WhatsApp-to-Host Attack Chain Using Three OpenClaw Flaws

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

OpenClawをWhatsAppなどの外部メッセージチャネルと連携している環境
GHSA-hjr6-g723-hmfmの影響を受けるOpenClaw 2026.6.6未満のバージョン
GHSA-9969-8g9h-rxwmの影響を受けるOpenClaw 2026.6.1未満のバージョン
GHSA-575v-8hfq-m3mcの影響を受けるOpenClaw 2026.6.6未満のバージョン
チャネルから受け取った指示で「exec」などのコマンド実行ツールを利用できるAIエージェント
サンドボックスへホスト側のディレクトリをバインドマウントできる構成
信頼レベルの異なる複数の利用者が、一つのOpenClaw Gatewayを共有している環境

推奨される対策

OpenClawを修正版の2026.6.6以降へ更新する
更新が完了するまで、影響を受ける機能を信頼できる管理者のみに制限するか、不要な場合は無効化する
メインセッション以外のセッションでサンドボックスモードを有効にする
WhatsAppなど外部チャネルに接続するエージェントのツール許可リストから「exec」を削除する
チャネルおよびツールの許可リストを必要最小限に限定する
相互に信頼できない利用者間で同一のGatewayを共有しない
「ext::」外部プロトコルヘルパーを含む不審なgit cloneコマンドが実行されていないか監視する
サンドボックスにマウントできるホスト側ディレクトリを確認し、ホームディレクトリやDockerソケットへのアクセスを制限する

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

OpenClaw：WhatsAppなどのメッセージチャネルと連携し、ローカル端末上でファイル操作やコマンド実行などを行える個人向けAIアシスタントです。
GHSA：GitHub Security Advisoryの識別子です。GitHub上で公開される脆弱性情報に付与されます。
OSコマンドインジェクション：外部から与えられた入力を通じて、想定されていないOSコマンドを実行させる脆弱性です。
パストラバーサル：本来アクセスを許可されていないディレクトリやファイルへ、不正なパス指定を利用して到達する脆弱性です。
バインドマウント：ホスト上のファイルやディレクトリを、コンテナ内部の特定の場所から参照できるようにする仕組みです。
サンドボックス：プログラムの権限やアクセス範囲を制限し、ホスト環境への影響を抑える隔離された実行環境です。
Dockerソケット：Dockerの管理機能へアクセスするための通信口です。アクセス権を取得されると、ホスト上のコンテナや設定を操作される可能性があります。
ツール許可リスト：AIエージェントが使用できるコマンド実行やファイル操作などの機能を限定する設定です。
OpenClaw Gateway：メッセージチャネル、AIモデル、エージェントおよび実行ツールの接続や制御を担うOpenClawの中核部分です。

外部メッセージがホスト操作へつながる攻撃経路

今回報告された3件の脆弱性は、OpenClawが外部チャネルから受け取った指示を処理し、ホスト側の機能を利用するまでの境界に関係しています。OpenClawは、WhatsAppなどのメッセージから利用者の依頼を受け取り、設定に応じてファイル操作、リポジトリの取得、コマンド実行などを行えます。この利便性の一方で、信頼度の低い外部入力が強い権限を持つツールへ到達できる構成では、一つの検証不備が複数の操作へ連鎖する可能性があります。

セキュリティ研究者のChinmohan Nayak氏は、今回の脆弱性を組み合わせることで、WhatsAppから送信した外部メッセージを起点にホスト上のコード実行へ到達できる攻撃経路を示したと報告しています。攻撃が成立した場合、機密情報の読み取り、永続的なバックドアの設置、権限の拡大、サンドボックスからホスト環境への移行などにつながる可能性があります。

ただし、すべてのOpenClaw環境が外部メッセージだけで直ちに侵害されるわけではありません。OpenClawの開発者は、実際の影響は運用者の設定や、信頼度の低い入力が脆弱な処理経路へ到達できるかによって異なると説明しています。外部チャネルに接続されたエージェントがどのツールを使用できるか、コマンド実行時に承認を求めるか、サンドボックスがどの範囲を参照できるかといった設定が、攻撃の成否と影響範囲を大きく左右します。

コマンド実行制限を回避する2件の脆弱性

GHSA-hjr6-g723-hmfmとGHSA-9969-8g9h-rxwmは、いずれもOpenClawのホスト実行環境におけるフィルタリング処理に関係する、深刻度「High」の脆弱性です。両方のCVSS基本値は8.8で、OpenClaw 2026.6.1以前が影響を受け、最初の安定した修正版は2026.6.6とされています。GitHubのアドバイザリでは、OSコマンドインジェクションと禁止入力の一覧が不完全である問題に分類されています。

GHSA-hjr6-g723-hmfmでは、ホスト実行環境におけるフィルタリング処理の不備により、制限を回避してOSコマンドを実行させる可能性がありました。信頼度の低い入力がその経路へ到達できる場合、呼び出し元に認められた権限を越えて実行したり、操作を永続化したりする可能性があると説明されてます。

GHSA-9969-8g9h-rxwmは、Gitの外部トランスポート機能を悪用できる可能性がある問題です。研究者は、「ext::」を含む外部プロトコルヘルパーを利用したgit clone処理が、任意のシステムコマンド実行へ悪用される可能性を示しています。そのため、更新だけでなく、外部チャネルに接続されたエージェントから「exec」を利用できないようにし、不審なGitコマンドをログやEDRで監視することが推奨されています。

親ディレクトリのマウントで個別の禁止設定を回避

GHSA-575v-8hfq-m3mcは、OpenClawのサンドボックスで使用されるバインドマウントの検証処理に存在した、CVSS基本値8.4の脆弱性です。OpenClaw 2026.6.6未満が影響を受け、パストラバーサルおよびリンク解決の不備として分類されています。問題となった処理では、指定されたパスが禁止対象のディレクトリ内にあるかは確認していましたが、指定された親ディレクトリの配下に禁止対象が含まれているかを十分に確認していませんでした。

例えば、個別の禁止リストで「~/.ssh」「~/.aws」「~/.gnupg」へのアクセスを遮断していても、それらを含む上位の「/home」ディレクトリ全体をマウントできれば、個別の禁止設定が実質的に回避される可能性があります。研究者は、この経路によって利用者のSSH秘密鍵、AWSの認証情報、GPG関連の機密情報などを読み取れる可能性があると説明しています。

同様に、「/var」などの親ディレクトリをマウントできる構成では、Dockerソケットへ到達する可能性があります。コンテナ内部からDockerの管理機能を操作できるようになると、新しい特権コンテナの作成やホスト側ファイルの参照などを通じて、サンドボックスの境界を越えられる可能性があります。この問題はサンドボックスを無効にすれば安全になるという意味ではなく、サンドボックスを有効にしたうえで、マウント対象とホスト側のアクセス権を厳格に制限する必要があることを示しています。

国内組織が確認すべき更新状況と運用設定

OpenClawを利用している組織は、最初に稼働中のバージョンを確認し、2026.6.6以降へ更新する必要があります。GHSA-hjr6-g723-hmfmとGHSA-9969-8g9h-rxwmは2026.6.1以前、GHSA-575v-8hfq-m3mcは2026.6.6未満が影響対象です。OpenClaw 2026.6.6では、サンドボックス、チャネル、コマンド実行承認などを含む複数のセキュリティ境界が強化されています。

更新のみで対応を完了させず、WhatsAppやTelegramなどから指示を受け取るエージェントに、どのツールが許可されているかも確認する必要があります。チャネル向けエージェントにコマンド実行が不要であれば、「exec」を許可リストから外すことが重要です。また、メインセッション以外ではサンドボックスを有効にし、ホストのホームディレクトリや「/var」などの広範な領域を安易にマウントしないよう設定を見直します。

OpenClawの開発者は、チャネルとツールの許可リストを必要最小限に保ち、相互に信頼できない複数の利用者で一つのGatewayを共有しないよう推奨しています。更新前の環境では、影響を受ける機能を信頼できる管理者だけに制限するか、利用していない機能を無効化する必要があります。加えて、Gitの外部プロトコルヘルパーを含む不審なコマンド、予期しないディレクトリのマウント、認証情報ファイルへのアクセス、Dockerソケットの利用などを監視することで、侵害の兆候を早期に把握しやすくなります。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）