导语
开源 AI 智能体平台 OpenClaw 与其官方技能市场 ClawHub 于 2026 年 9 月 26 日被集中披露一批漏洞。公开漏洞数据库同批登记约 79 条记录，其中 20 余条为高危级，覆盖沙箱逃逸、授权绕过、命令注入与路径遍历。修复版本为 OpenClaw 2026.7.1 与 2026.8.1，建议直接升级到 2026.8.11 或更高。
事件概述
本次披露由 VulnCheck 作为 CNA 统一登记，OpenClaw 主线、各平台适配器与 ClawHub 服务端同批提交补丁。
- 受影响产品与版本：npm 包
openclaw、ClawHub 技能市场及各平台适配组件，版本集中在 2026.5.1 至 2026.8.0 区间 - 修复版本：主线 2026.7.1 / 2026.8.1，ClawHub 侧修复提交 8c2de6c506
- 在野利用：暂无相关 CVE 进入 CISA KEV，也未出现公开利用报告
技术细节
- CVE-2026-100597（7.8，CWE-367）：OpenShell 本地镜像的 remove、mkdir、rename 在完成路径安全检查后才执行，攻击者可在并发窗口替换路径，使沙箱操作以 OpenClaw 进程权限作用于镜像根目录之外的宿主机路径。
- CVE-2026-100580（8.8）：cron 工具可被用于构造远程代码执行。
- CVE-2026-100599（8.8）：googlemeet.chrome 组件存在远程代码执行路径。
- CVE-2026-100596 / 100585（8.8 / 8.0）：MCP 配置与 MCP 通道授权校验缺失，可绕过权限判定调用工具。
- CVE-2026-100589（8.3）：借浏览器节点绕过沙箱限制，触达宿主机文件系统。
- 其余高危项：CVE-2026-100559 借转义换行符命令注入（8.0）、CVE-2026-100567 DNS 重绑定（8.2）、CVE-2026-100570 经 CLOUDSDK_PYTHON_ARGS 代码执行（7.8）、CVE-2026-100551 iOS 控制端 TLS 校验绕过（8.3）。
- ClawHub 服务端：CVE-2026-100602 变更日志越权读取、CVE-2026-100601 头像加载 SSRF、CVE-2026-100604 前发布者可接管技能。
影响评估
本批漏洞 CVSS 3.1 与 4.0 最高均为 8.8。但 AI 智能体的运行模型放大了实际风险：智能体默认以进程身份持有宿主机文件读写权限，以及已授权的云凭据与外部 API 令牌。沙箱逃逸叠加授权绕过，意味着一个恶意技能或一次成功的提示注入，就可能读到工作区之外的文件与凭据。
更值得警惕的是技能供应链。ClawHub 此前已发生 ClawHavoc 大规模投毒（审计 2857 个技能，判定 341 个恶意，其中 335 个属同一活动），2026 年 6 月又发现五个可绕过自动扫描的恶意技能。本批 ClawHub 服务端漏洞直接落在分发链路上，属于投毒活动的加速器。
修复建议
- 升级到 OpenClaw 2026.8.11 或更高版本。
- 执行
openclaw skills列出已安装技能并核对来源，删除无法确认出处的第三方技能。 - 配置
security.installPolicy，以 fail-closed 策略在安装环节拦截，并开启workspaceOnly: true限制文件系统范围。 - 网关不要暴露公网：改绑 127.0.0.1 并经带鉴权的反向代理访问；必须暴露时确认默认端口 18789 已有强认证。
- 轮换曾注入技能进程或网关环境的云凭据与 API Key。