Vulnérabilités d’OpenClaw : le rapport d’octobre 2026
Ce que le NVD recense pour OpenClaw en octobre 2026 : combien de vulnérabilités, de quelle gravité, quels types reviennent le plus, et que faire.
Par OpenClawPro. Publié le 25 octobre 2026. Mis à jour le 25 octobre 2026.
Au 23 octobre 2026, le NVD recense 685 vulnérabilités dont la description nomme OpenClaw ou ses anciens noms : 31 critiques, 287 élevées, 337 moyennes et 30 faibles. La plus récente a été publiée le 14 octobre 2026. Le chiffre impressionne ; lu avec les dates et les versions corrigées, il dit surtout qu’un projet populaire est audité sérieusement, et que le vrai risque est de faire tourner une vieille version.
Quand ont-elles été publiées ?
Par vagues. Mars 2026 a compté 199 publications, dont 17 critiques, et avril 174. Depuis septembre, 93 ont été publiées, dont 0 critiques et 33 élevées. La vague du début 2026 a suivi la popularité soudaine du projet et ses premiers audits sérieux.
Quels types de failles reviennent le plus ?
En regroupant les catégories de faiblesse du NVD, les défauts d’autorisation et d’authentification forment la plus grande famille avec 301 entrées, devant l’exécution de commande et l’injection (109), la traversée de chemin (58) et la falsification de requête côté serveur (41). Beaucoup concernent des canaux et des plugins optionnels : une raison de plus de n’installer que ce que vous utilisez.
Laquelle faut-il connaître par son nom ?
CVE-2026-25253, notée 8.80 : une exécution de code à distance en un clic, par une adresse de passerelle tirée d’un paramètre d’URL. Elle a été corrigée en version 2026.1.29. C’est un bon exemple de la raison pour laquelle la passerelle ne doit jamais être exposée sur Internet, même après le correctif.
Que faire ?
- Tourner sur une version récente. La dernière version corrigée citée dans les descriptions du NVD est la 2026.9.5 ; consultez les notes de version pour plus récent.
- Garder la passerelle privée et y accéder par un tunnel SSH.
- Retirer les canaux et plugins inutilisés.
- N’installer que des skills relues.
- Lancer notre script d’audit en lecture seule, qui contrôle 12 points : github.com/Delta117-117/openclaw-hardening.
Suivre la liste
Notre suivi des CVE montre chaque entrée avec sa gravité et sa version corrigée, et publie les mêmes données en flux JSON et RSS, libres de réutilisation avec un lien.