OpenClaw 2026.10.9 rilis pada 29 Oktober 2026 sebagai rilis perawatan dengan 48 pull request. Rilis ini menambal dependensi rentan, menutup celah pada tools.fs.workspaceOnly, menyembunyikan kredensial pada inspeksi MCPMCPAturan standar yang memungkinkan program AI memakai alat dan data Anda dengan izin yang jelas.Buka glosarium, dan membuat rollback update yang gagal tetap aman. Upgrade minggu ini bila Gateway Anda memakai MCP, Microsoft Teams, inbox IMAP, atau batas workspace.
Rilis ini tidak membawa fitur baru. Catatan rilis resmi menyebut 4 fokus: patch keamanan dependensi, pemulihan, penjagaan data, dan keandalan (GitHub Releases OpenClaw, 29 Oktober 2026).
Apa itu OpenClaw, Gateway, dan jalur extended-stable?
OpenClaw adalah AI agentAgent AIProgram AI yang mengerjakan langkah pekerjaan sendiri, misalnya membaca pesan, menyiapkan balasan, lalu mencatat hasilnya.Buka glosarium open source yang berjalan di server, VPS, atau laptop Anda sendiri. Gateway adalah proses layanan OpenClaw. Gateway menerima pesan dari kanal seperti Slack, Microsoft Teams, Telegram, dan email, lalu menjalankan agent dan tool.
OpenClaw punya 2 jalur rilis stabil di npm. Jalur latest sekarang berisi 2026.10.9. Jalur extended-stable setara LTS dan sekarang berisi 2026.9.36, rilis khusus Gateway yang terbit pada hari yang sama (catatan rilis 2026.9.36).
Apa yang berubah di OpenClaw 2026.10.9?
OpenClaw 2026.10.9 mengubah 4 area: dependensi rentan, batas akses tool, kerahasiaan kredensial, dan pemulihan update. Tabel ini merangkum perubahan dari catatan rilis resmi.
| Area | Perubahan | Dampak bagi operator |
|---|---|---|
| Microsoft Teams | MSAL Node naik ke 7.1.1 | Menutup CVE-2026-109461 (tingkat high) pada alur kode otorisasi MSAL Node |
| Validasi schemaSchemaKeterangan tambahan dalam kode halaman yang memberi tahu mesin pencari jenis isi halaman, misalnya artikel, layanan, atau tanya jawab.Buka glosarium MCP | fast-uri 4.2.3 menolak skema dan host URI yang rusak | URI rusak di schema MCP tidak lagi lolos validasi |
| Inbox email IMAP | Parsing pengirim memakai nodemailer 10.1.4 | Pengirim palsu tidak lagi lolos gerbang token pengirim |
| A2UI dan Discord | Koleksi Zod yang terlalu besar ditolak lebih awal | Input besar tidak lagi memaksa kerja tanpa batas |
| Batas workspace | tools.fs.workspaceOnly berlaku untuk tool buatan Gateway | Perubahan oleh delegate kembali butuh persetujuan |
| Kredensial | Inspeksi MCP CLI menyembunyikan kredensial. Client secret Google OAuth disamarkan di log. | Kunci tidak lagi tampil di terminal, transkrip, atau log |
| Rollback update | Rollback Git menjaga edit operator. Rollback npm di Windows mencoba ulang dan melaporkan langkah pemulihan. | Update gagal tidak lagi menghapus edit lokal atau membuat instalasi gagal start |
| Data agent | Database agent dan indeks full-text pulih setelah perubahan tokenizer SQLite | Riwayat dan pencarian agent tetap utuh setelah update |
| Disk penuh | Agent pulih sendiri saat ruang disk tersedia lagi | Anda tidak perlu restart Gateway setelah membersihkan disk |
Celah apa yang ditutup, dan seberapa serius?
Celah paling penting ada pada tools.fs.workspaceOnly, karena pengaturan itu tidak berlaku di 2 jalur pembuatan tool. Pull request #185094 masuk ke main pada 27 Oktober 2026 dan menjelaskan masalahnya.
- Tool dari loopback Gateway dan skill dispatch dibuat tanpa kebijakan filesystem.
- Tanpa kebijakan itu, delegate
openclawmendapat akses Full Access. Perubahan konfigurasi permanen lalu berjalan tanpa persetujuan. - Tool media juga boleh membaca folder default di luar workspace.
Masalah kedua ada pada inspeksi MCP. Menurut PR #180321, perintah openclaw mcp list --json dan mcp show mencetak kredensial yang dapat dipakai, termasuk nilai dari variabel environment. Sekarang header, nilai environment, dan argumen sensitif tampil sebagai __OPENCLAW_REDACTED__.
Untuk MSAL Node, advisory GHSA-xcx6-jx8p-x3h5 terbit 23 Oktober 2026 dengan tingkat high. Tim OpenClaw menyebut patch ini remediasi dependensi terdampak, bukan bukti eksploitasi penuh di OpenClaw.
Bagaimana rasanya untuk operator sehari-hari?
Untuk operator, perubahan terbesar terasa saat update gagal, bukan saat agent bekerja normal. Sebelum rilis ini, rollback dari instalasi Git dapat mereset checkout. Edit lokal operator pada berkas sumber ikut hilang.
Rilis 2026.10.9 juga mengurangi restart manual. Agent pulih sendiri setelah disk penuh dibersihkan. Arsip transkrip besar juga bermigrasi tanpa melewati batas string Node.js.
Contoh skenario (ilustrasi): sebuah agensi kecil menjalankan 1 Gateway OpenClaw di VPS. Agent membaca email pesanan lewat IMAP, lalu mengirim ringkasan ke kanal Microsoft Teams. Pada versi lama, email dengan pengirim palsu berisiko lolos gerbang token pengirim, dan login Teams memakai MSAL Node yang terdampak. Setelah upgrade, kedua jalur itu memakai dependensi yang sudah ditambal.
Apa kata pengguna sesudah rilis?
Laporan pengguna pada 30 Oktober 2026 menunjukkan update belum selalu mulus. Tiga laporan ini masih terbuka di GitHub saat artikel ini terbit.
- Gateway macOS hilang dari launchd. Di macOS 26.5.2, Gateway hilang dari domain launchd setelah auto-update dari 2026.10.8 ke 2026.10.9. Pengguna memulihkannya dengan
launchctl bootstrap(issue #188303). Maintainer menyebut 2 perbaikan sudah ada di main, tetapi belum masuk rilis. - Hot reload membuat Gateway macet. Pada instalasi besar dengan sekitar 40 konektor kanal, perubahan
agents.defaults.models.*memuat ulang semua plugin. Gateway macet sekitar 19 detik (issue #188275). - Update dari 2026.9.4 gagal di tahap validasi. Laporan #188829 mencatat kode
node-runtime-preflight. Maintainer memastikan Node 26.13.0 lolos syarat versi, jadi akar masalahnya belum jelas.
Perlu upgrade sekarang?
Ya, upgrade dalam minggu ini bila Gateway Anda memakai salah satu fitur yang ditambal. Pakai tabel ini untuk menentukan prioritas.
| Kondisi Gateway Anda | Prioritas | Alasan |
|---|---|---|
| Kanal Microsoft Teams aktif | Minggu ini | MSAL Node 7.1.1 menutup CVE-2026-109461 |
tools.fs.workspaceOnly: true | Minggu ini | Batas workspace sekarang berlaku untuk tool buatan Gateway |
| Server MCP dengan header atau token rahasia | Minggu ini | Inspeksi MCP tidak lagi mencetak kredensial |
| Inbox email lewat IMAP | Minggu ini | Gerbang token pengirim menolak pengirim palsu |
| Jalur extended-stable | Minggu ini, ke 2026.9.36 | Rilis LTS ini membawa patch workspace, Teams, dan input tidak tepercaya |
| macOS dengan auto-update tanpa pemantauan | Update manual saat Anda siaga | Laporan #188303 masih terbuka |
Bagaimana cara upgrade OpenClaw 2026.10.9 dengan aman?
Upgrade aman butuh 8 langkah: cek Node.js, backup, update, verifikasi, lalu siapkan pemulihan. Jalankan langkah ini pada jam sepi.
- Jalankan
node -v. Paket npm 2026.10.9 meminta Node.js>=24.22.1 <25atau>=26.12.1(npm openclaw 2026.10.9). - Backup folder state OpenClaw (
$OPENCLAW_STATE_DIR) sebelum update. - Jalankan
openclaw update. - Jalankan
openclaw update statusdanopenclaw gateway status --deep. - Kirim 1 pesan uji ke setiap kanal aktif. Pastikan agent membalas.
- Jalankan
openclaw mcp list --json. Pastikan kredensial tampil sebagai__OPENCLAW_REDACTED__. - Ganti kunci APIAPIPintu resmi yang dipakai 2 sistem untuk saling mengirim data, tanpa orang menyalin data secara manual.Buka glosarium yang pernah tampil di output inspeksi MCP, transkrip agent, tiket, atau log.
- Bila Gateway macOS hilang, jalankan
launchctl bootstrap gui/$(id -u) ~/Library/LaunchAgents/ai.openclaw.gateway.plist, laluopenclaw doctor --fix.
Bila update gagal, buka berkas openclaw-update-failure-*.json di $OPENCLAW_STATE_DIR/logs/support/. Berkas itu mencatat langkah yang gagal dan alasan pemulihan ditolak.
Apa batas rilis ini?
Rilis 2026.10.9 belum menutup semua masalah update di macOS. Catat 3 batas ini sebelum upgrade.
- Perbaikan untuk Gateway yang hilang dari launchd belum masuk 2026.10.9 maupun 2026.10.8.
- APK Android tidak ikut rilis ini. Catatan rilis menyebut versi aplikasi Android masih 2026.8.2.
- Patch MSAL adalah remediasi dependensi. Tim OpenClaw tidak mengklaim ada eksploitasi nyata di OpenClaw.
Kesimpulan: apa langkah Anda berikutnya?
Jadwalkan upgrade ke 2026.10.9, atau ke 2026.9.36 untuk jalur extended-stable, dalam minggu ini. Ganti kredensial yang pernah tampil di output inspeksi MCP, lalu uji setiap kanal sesudah update.
Baca juga ulasan OpenClaw 2026.10.5 tentang pemulihan update dan restart untuk konteks rilis sebelumnya. Bila tim Anda butuh agent dengan akses terbatas dan prosedur upgrade yang teruji, lihat layanan AI Agent Ops Install. Untuk server MCP dengan kredensial aman, lihat Jasa Pembuatan MCP.
Tanya jawab
Apakah OpenClaw 2026.10.9 membawa fitur baru?
Tidak. Catatan rilis resmi menyebut 2026.10.9 sebagai rilis perawatan untuk patch keamanan dependensi, pemulihan, penjagaan data, dan keandalan.
Apa beda OpenClaw 2026.10.9 dan 2026.9.36?
2026.10.9 ada di jalur latest. 2026.9.36 ada di jalur extended-stable, setara LTS, dan hanya untuk Gateway. Keduanya terbit 29 Oktober 2026 dengan patch workspace dan Teams.
Versi Node.js berapa yang dibutuhkan OpenClaw 2026.10.9?
Paket npm 2026.10.9 meminta Node.js 24.22.1 atau lebih baru di jalur 24, atau Node.js 26.12.1 atau lebih baru. Cek dengan perintah node -v sebelum update.
Apa yang harus saya lakukan bila Gateway macOS mati setelah update?
Jalankan launchctl bootstrap untuk berkas ai.openclaw.gateway.plist, lalu openclaw doctor --fix dan openclaw update status. Maintainer menyarankan langkah ini di issue #188303.
Apakah kunci API saya bocor sebelum rilis ini?
Inspeksi MCP lama mencetak kredensial ke terminal dan ke transkrip tool yang tersimpan. Bila Anda atau agent pernah menjalankan openclaw mcp list --json atau mcp show, ganti kredensial yang tampil.
