Claw Chain cuatro fallos concatenados en OpenClaw que permiten escalar privilegios robar secretos y plantar puertas traseras

Investigadores en ciberseguridad han revelado una campaña de fallos concatenados en OpenClaw que, en conjunto, permiten desde el robo de información hasta la escalada de privilegios y la instalación de puertas traseras persistentes. Cyera denominó a este conjunto “Claw Chain”: cuatro vulnerabilidades que, explotadas en secuencia, permiten a un atacante entrar en el sandbox del agente, extraer secretos, suplantar al propietario del agente y finalmente modificar la configuración para mantenerse dentro del entorno.

Las fallas identificadas incluyen dos condiciones de carrera tipo TOCTOU que posibilitan escribir o leer fuera del árbol de montaje previsto (CVE-2026-44112 y CVE-2026-44113), una validación incompleta de entradas que se puede eludir mediante expansiones de shell en heredocs (CVE-2026-44115) y un control de acceso defectuoso que confía en una cabecera controlada por el cliente llamada senderIsOwner, lo que permite a clientes no propietarios escalar sus privilegios (CVE-2026-44118). Cada una tiene un impacto serio por separado, pero el riesgo real viene de la cadena: código malicioso logra ejecución en el sandbox, extrae credenciales y archivos sensibles, obtiene tokens de “propietario” y finalmente planta mecanismos de persistencia y backdoors.

Que un adversario use el propio agente para moverse dentro del entorno hace que la actividad parezca legítima ante controles tradicionales: las llamadas, accesos a archivos y cambios de configuración se benefician de la confianza ya otorgada al agente, lo que amplía el radio de daño y complica la detección. Por eso es esencial abordar tanto la remediación técnica como la higiene operacional para reducir la ventana de exposición y el impacto potencial.

OpenClaw publicó correcciones y mitigaciones en la versión 2026.4.22 tras la divulgación responsable; el descubridor acreditado es Vladimir Tokarev. Para entender técnicamente las categorías de falla en juego conviene revisar recursos públicos sobre condiciones de carrera y validación de entradas, por ejemplo la ficha de MITRE sobre TOCTOU y CWE-367 https://cwe.mitre.org/data/definitions/367.html, y las notas de Cyera sobre el hallazgo y la clasificación de la amenaza https://www.cyera.com.

Si administras instancias con OpenClaw, la prioridad inmediata es actualizar a la versión parcheada. Además de actualizar, actúa en varias frentes: revoca y vuelve a emitir credenciales y tokens que pudieran haber sido expuestos, restringe la instalación de plugins o integraciones externas hasta verificar su integridad, y aplica controles de segmentación para limitar qué recursos pueden alcanzar los agentes. Revisa logs y telemetría en busca de comportamientos atípicos del agente —lecturas masivas de ficheros sensibles, escrituras fuera de rutas permitidas o cambios en tareas programadas— porque la cadena buscada por el atacante imita operaciones legítimas.

Desde la perspectiva del desarrollo y la arquitectura, hay lecciones claras: no confíes en banderas controladas por el cliente para decisiones de autorización; deriva el estatus de propietario desde tokens autenticados y contextos del servidor, como ya han corregido los responsables al emitir tokens separados para owner y non-owner. Evita TOCTOU con operaciones atómicas, bloqueo de ficheros o verificaciones que no dependan de ventanas de tiempo inseguros, y sanitiza y restringe cualquier expansión de shell en entradas complejas como heredocs.

Para detección y respuesta, incorpora controles que no solo busquen firmas, sino patrones de comportamiento anómalos del agente: elevación súbita de privilegios, acceso a secretos fuera del alcance previsto o cambios frecuentes en la configuración del runtime. Complementa con EDR/EDR-like, monitorización de integridad de ficheros y políticas de least privilege en el runtime del agente. Si sospechas compromiso, realiza una contención que incluya aislar el agente, extracción de artefactos para forense y restauración desde imágenes conocidas buenas tras la rotación de secretos.

Claw Chain es un recordatorio de que los agentes de gestión y automatización son objetivos valiosos: actúan con privilegios y su comportamiento normal puede ocultar una explotación. Actualiza, audita y restringe, y considera este caso como un ejemplo para reforzar la validación de entradas y la separación estricta de tokens y responsabilidades en cualquier arquitectura basada en agentes.