CVE-2026-41386: OpenClaw - Escalonamento de Privilégios via Códigos de Configuração de Bootstrap Não Vinculados

Visão geral

A CVE-2026-41386 é uma falha de escalonamento de privilégios no OpenClaw. Segundo o registro, os códigos de configuração de bootstrap não ficam vinculados aos papéis e escopos de dispositivo pretendidos durante o pareamento, o que a torna relevante no primeiro uso de um dispositivo. A VulnCheck atua como CNA, e a NVD classifica a fraqueza como CWE-648.

Impacto

Conforme o registro, um agente envolvido no pareamento inicial de um dispositivo pode obter privilégios além do papel e do escopo previstos para esse dispositivo.
A NVD atribui pontuação 9.8 (crítica) com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica acesso pela rede, sem necessidade de privilégios ou interação do usuário, e alto impacto na confidencialidade, integridade e disponibilidade.
Os dados SSVC do registro indicam que o problema é automatizável e tem impacto técnico total.
Outras pontuações do registro, da VulnCheck e de seu contato de divulgação, são 9.1.

Produtos e versões afetadas

Produto: OpenClaw (listado no registro como Openclaw Openclaw).
Faixa afetada: versões anteriores à 2026.3.22.
Correção: um commit no repositório do fornecedor é indicado como patch. A versão corrigida indicada pela faixa afetada é a 2026.3.22.

Situação de exploração

O catálogo KEV da CISA não lista esta CVE no registro.
Nenhuma exploração confirmada no mundo real aparece nas fontes consultadas.
A probabilidade EPSS de 0.00568 é uma estimativa modelada da chance de exploração, e não evidência de ataques observados.

Correção e mitigação

Atualize o OpenClaw para a versão 2026.3.22 ou superior, conforme indicado pela faixa afetada e pelo patch vinculado.
Consulte o aviso de segurança do fornecedor no GitHub para orientações específicas do seu ambiente.
Até concluir a atualização, restrinja o pareamento de dispositivos a administradores e ambientes de confiança, e evite emitir códigos de configuração para dispositivos desconhecidos ou não verificados.
Revise os dispositivos pareados durante a janela de exposição e verifique os papéis e escopos atribuídos a eles.

Orientações de detecção

Audite os eventos de pareamento e compare o papel e o escopo concedidos a cada dispositivo recém-pareado com o que era esperado.
Gere alertas para pareamentos que concedam permissões mais amplas do que a categoria do dispositivo normalmente recebe.
Correlacione novos cadastros de dispositivos com os registros de emissão de códigos de configuração, quando os logs estiverem disponíveis.

Limitações das informações disponíveis

O registro não descreve em detalhes o mecanismo técnico, por isso as condições exatas de exploração são desconhecidas.
Se existem medidas de contorno para as versões anteriores à correção é desconhecido.
O registro informa o identificador CWE, mas não o nome da CWE.
As diferenças de pontuação entre NVD e VulnCheck não foram conciliadas além do que o registro lista.

Perguntas frequentes

Quais versões do OpenClaw são afetadas?

Segundo o registro, as versões do OpenClaw anteriores à 2026.3.22 são afetadas.

Esta vulnerabilidade está sendo explorada no mundo real?

O registro mostra que a CVE não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer?

Atualize para a versão 2026.3.22 ou superior, revise os pareamentos recentes e seus papéis atribuídos, e restrinja o pareamento a contextos de confiança até concluir a atualização.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.