OpenClaw 2026.10.9、IMAPなりすまし対策など脆弱性を一斉パッチ 自己ホスト勢は要確認

2026年10月30日に公開されたOpenClaw 2026.10.9は、複数の脆弱性修正とデータ復旧の強化を中心とした保守リリースです。新機能を増やすものではなく、Gatewayを自宅サーバーやVPSで常時稼働させている自己ホスト管理者が優先的に確認すべき更新だと言えます。

今回パッチされた4つの脆弱性：fast-uri・Zod・nodemailer・MSAL Node

公式発表によると、MCPスキーマ検証で使われるfast-uriは4.2.3にアップデートされ、不正な形式のURIスキームやホストを拒否するようになりました。あわせてA2UIやDiscord埋め込みアプリSDKでは、サイズの大きすぎるZodのコレクションを早期に拒否する処理が加わっています。Microsoft Teams連携に使われるMSAL Nodeも7.1.1へパッチされました。

IMAPなりすまし送信者対策とGoogle OAuthシークレットのログ保護

公式発表では、IMAPの送信者解析にnodemailer 10.1.4を採用したことで、偽装した送信者がsenderトークンのチェックを通過できなくなったとしています。あわせて、MCP CLIの検査時に有効な認証情報が露出しないようにし、ログ上でもGoogleのOAuthクライアントシークレットをマスク表示するよう改善されました。

アップデート失敗時のロールバック安全性はどう強化されたか

Gitソースからのロールバックでは、失敗時に作業者が加えた変更をリセットせず保持するようになりました。npm経由のロールバックでは、Windowsで一時的に発生する拒否エラーを再試行し、起動可能な状態に戻すための具体的な操作内容を報告するようになっています。変更前の挙動の詳細は素材からは確認できません。

SQLite復旧・ディスクフル後の自動復旧など運用継続性の改善

SQLiteのトークナイザー変更後でも、エージェントのデータベースや全文検索インデックスを更新スナップショットを含めて復旧できるようにしたとされています。また、ディスク容量が不足した場合でも、空き容量が戻ればエージェントが再起動なしに復帰できるようになりました。

自己ホスト運用者が今すぐ確認すべきアクション

対象プランや料金に関する記載は公式ページ本文には見当たりません。今回はセキュリティ修正と運用継続性の改善が中心のため、新機能目当てではなく、Gatewayを常時稼働させている環境ほど早めの更新確認が望ましい内容です。

出典

公式発表（発表日: 2026年10月30日）

この記事はAIツールギャラリーがOpenClaw（旧Clawdbot/Moltbot）の公式アップデート情報をもとに自動生成しています。

詳しくはOpenClaw（旧Clawdbot/Moltbot）の詳細ページをご覧ください。