LONDON (IT BOLTWISE) – Sicherheitsforscher decken vier OpenClaw-Lücken auf, die sich zu einem „Claw Chain“-Angriff verketten lassen: von Codeausführung im Sandbox-Kontext über das Auslesen sensibler Daten bis hin zu dauerhafter Kontrolle. Besonders kritisch ist, dass mehrere Schritte durch „normales“ Agent-Verhalten aussehen können und dadurch traditionelle Kontrollen umgehen. Mit dem Fix auf OpenClaw 2026.4.22 rät man dringend zum Update, um Backdoors und Rechteübernahmen zu verhindern.
Die aktuellen Meldungen zu OpenClaw zeigen, wie schnell aus einzelnen Schwachstellen ein operatives Angriffsmodell werden kann. Was zunächst nach vier getrennten Fehlerklassen klingt, lässt sich laut Sicherheitsforschung zu einem verketteten „Claw Chain“-Szenario ausrollen: Angreifer könnten zunächst einen Fußabdruck im System etablieren, anschließend vertrauliche Informationen extrahieren, Rechte eskalieren und schließlich eine Persistenz-Komponente platzieren. Entscheidend ist dabei nicht nur der technische Bug, sondern das Zusammenspiel mehrerer Schutzannahmen rund um Sandbox-Läufe, Berechtigungslogik und eine steuernde Kommunikationsschicht zwischen Agent und Laufzeit. Für Betreiber bedeutet das: Patch-Management und Bedrohungsmodellierung müssen eng gekoppelt werden.
Technisch entfaltet sich die Angriffskette über vier CVEs, die an zentralen Stellen in der OpenClaw-Laufzeit ansetzen. Die CVE-2026-44112 beschreibt eine TOCTOU-Schwachstelle im OpenShell-Managed-Sandbox-Backend: Durch einen Race-Condition-Moment können Angreifer Sandbox-Einschränkungen umgehen und Schreibvorgänge außerhalb des vorgesehenen Mount-Roots umleiten. Ergänzend erlaubt CVE-2026-44113 ebenfalls über TOCTOU das Umgehen von Lesegrenzen, wodurch Angreifer Dateien außerhalb des beabsichtigten Mount-Roots lesen könnten. Zusammen adressieren beide CVEs direkt das Spannungsfeld zwischen „prüfen“ und „verwenden“ – typisch für Dateisystemzugriffe, bei denen sich Zustände zwischen Kontrolle und Nutzung verändern.
Der dritte Schritt betrifft die Eingabevalidierung: CVE-2026-44115 macht es möglich, dass eine Allowlist-Logik durch „unzulässige Eingaben“ ausgetrickst wird. Praktisch bedeutet das, dass Angreifer Shell-Expansion-Tokens in einem Here-Document-Body (heredoc) platzieren können, sodass zur Laufzeit Befehle ausgeführt werden, die eigentlich nicht genehmigt waren. In der Agentenwelt ist diese Klasse besonders gefährlich, weil Eingaben häufig aus Prompt-Strukturen, Plugins oder externen Quellen stammen. Damit verschwimmt die Grenze zwischen „Daten“ und „Steuerung“. Genau hier entsteht häufig der Effekt, dass Sicherheitsmechanismen zwar auf typische Muster reagieren, aber in Randformaten wie heredocs zu spät oder falsch greifen.
Am Ende steht die Zugriffskontrolle, die in Agentensystemen oft als „letzter Gatekeeper“ wirkt. CVE-2026-44118 adressiert eine fehlerhafte Zugriffskontrolle, bei der nicht-eigentümerseitige Loopback-Clients einen Besitzerstatus imitieren können. Dadurch könnten Angreifer Privilegien erhöhen und Kontrolle über Gateway-Konfigurationen, Cron-Scheduling sowie das Management der Execution Environment erlangen. Laut Analyse liegt die Ursache darin, dass die Laufzeit ein client-gesteuertes Ownership-Flag namens senderIsOwner akzeptiert und es nicht gegen die tatsächlich authentifizierte Sitzung verifiziert. Als Gegenmaßnahme werden separate Owner- und Non-Owner-Bearer-Tokens ausgegeben; senderIsOwner wird nur noch ausschließlich aus dem Token abgeleitet, mit dem die Anfrage authentifiziert wurde.
Wie bei vielen modernen Agentenplattformen ist der Kernwiderspruch: Je stärker eine KI-/Agenten-Laufzeit automatisiert und „werkzeugfähig“ gemacht wird, desto mehr muss die Sicherheitsarchitektur mitwachsen. In der Praxis stehen Betreiber oft vor einer Abwägung zwischen „konsequenter Sandbox-Isolation“ und „leistungsfähiger Tool-Integration“. TOCTOU-Probleme zeigen, dass reine Annahmen über Dateisystemzustände oder Mount-Roots nicht ausreichen, wenn ein Angreifer zeitliche Fenster ausnutzen kann. Der Validate-Then-Use-Fehler bei Dateizugriffen ist dabei historisch ein wiederkehrendes Muster – schon in früheren Container- und Plugin-Ökosystemen führte es zu Umgehungen. Im Vergleich dazu setzen Wettbewerber wie das LangChain-Ökosystem oder Microsoft Semantic Kernel stärker auf orchestrierte Tool-Policies, wobei jedoch das Grundprinzip identisch bleibt: Jede Policy ist nur so stark wie ihre Implementierung unter realistischen Angriffsformaten.
Marktseitig ist bemerkenswert, dass die Kette so konstruiert sein soll, dass jeder Schritt wie „normales“ Agentenverhalten wirkt. Sicherheitsforscher berichten, dass ein Angreifer über bösartige Plugins, Prompt Injection oder kompromittierte externe Eingaben Codeausführung im OpenShell-Sandbox-Kontext erreichen kann, dann über CVE-2026-44113 und CVE-2026-44115 Credentials, Secrets und sensible Dateien extrahieren kann und anschließend mittels CVE-2026-44118 Owner-Level-Kontrolle im Agenten-Runtime erlangt. Wie Cyera betont, geht es um das „Ausnutzen der eigenen Agentenprivilegien“. Für Unternehmen ist das relevant, weil Security Monitoring häufigeregelbasiert oder heuristisch arbeitet und dadurch „auffällige“ Artefakte fehlt, wenn Prozesse formal korrekt wirken.
Ein weiterer Blick auf die Fix-Strategie verdeutlicht, dass nicht nur einzelne CVEs zu schließen sind, sondern Vertrauensgrenzen klarer gezogen werden müssen. Die Änderung an der senderIsOwner-Logik adressiert ein zentrales Risiko: Wenn Statusinformationen aus einem Header stammen, dürfen sie nicht als authoritativ akzeptiert werden, ohne sie an einen kryptografisch bestätigten Authentifizierungszustand zu koppeln. Genau hier unterscheidet sich „lokale“ Robustheit von „systemischer“ Sicherheit: Ein Patch, der nur die Symptome einzelner Race-Conditions behandelt, bleibt unvollständig, wenn parallel die Berechtigungsgrundlage spoofbar ist. Das unterstreicht auch die in der Industrie häufig empfohlene Praxis, jede Privilegieneskalation als eigenen Bedrohungsfall zu behandeln – nicht als Nebenprodukt eines anderen Bugs.
Für die Zukunft ergibt sich daraus eine klare Handlungslogik: OpenClaw-Nutzer sollten auf Version 2026.4.22 updaten, um die vier CVEs zu schließen. Gleichzeitig sollten Teams die eigene Umgebung evaluieren, insbesondere dort, wo Agenten Datenzugriff, Tool-Ausführung und Loopback-Kommunikation kombinieren. Auch wenn die gemeldeten Schwachstellen behoben sind, bleibt das strukturelle Risiko vergleichbarer Klassen bestehen: TOCTOU im Dateizugriff, Umgehungen in Token- und Template-Auswertung sowie fehlerhafte Token-to-Privilege-Ableitung. Experten warnen sinngemäß, dass Angreifer die „Hände des Agenten“ in der Umgebung missbrauchen können; die praktische Konsequenz ist, dass Detektion, Hardening und Policy-Design zusammenspielen müssen, nicht nacheinander.
Zusätzlich sollten Betreiber regulatorische und datenschutzbezogene Aspekte in die Sicherheitsbewertung einbeziehen. Wenn Lücken das Auslesen von Systemdateien oder internen Artefakten erlauben, können davon personenbezogene Daten, Kundendaten oder Betriebsgeheimnisse betroffen sein – mit direkten Auswirkungen auf Compliance-Anforderungen. In vielen Organisationen ist dafür entscheidend, dass Logging, Zugriffskontrollen und Incident-Response so konzipiert sind, dass selbst dann, wenn ein Angreifer „wie normal“ wirkt, dennoch Abweichungen in Berechtigungsflüssen und Tokennutzung erkannt werden. Wer Agenten produktiv einsetzt, sollte außerdem sicherstellen, dass Container- und Sandbox-Konfigurationen regelmäßig mit den neuesten Sicherheitspatches aktualisiert werden und dass externe Prompt- oder Plugin-Zulieferungen nicht blind als vertrauenswürdig gelten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OpenClaw-Kettenangriff: Vier Lücken ermöglichen Datenklau, Rechteeskalation und Persistence" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OpenClaw-Kettenangriff: Vier Lücken ermöglichen Datenklau, Rechteeskalation und Persistence" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OpenClaw-Kettenangriff: Vier Lücken ermöglichen Datenklau, Rechteeskalation und Persistence« bei Google Deutschland suchen, bei Bing oder Google News!