人気のワークフロー自動化プラットフォームであるn8nで重大なセキュリティ脆弱性が発見され、認証済みの攻撃者が影響を受けるインスタンス上で任意のコードを実行できる可能性があります。
CVSSスコア9.9のCVE-2026-21877として追跡されているこの脆弱性は、セルフホスト版とn8n Cloudの両方のデプロイに影響し、直ちに対処が必要です。
この脆弱性はGitノード機能における不適切な入力検証に起因しており、低権限の認証済みアクセスを持つ攻撃者が、信頼できないコードを注入して実行できるようになります。
セキュリティ研究者のtheolelasseuxが特定したこの欠陥は、ファイルアップロード処理とコマンドインジェクションのベクトルにおける弱点を悪用します。
n8nは機密性の高い内部API、データベース、サードパーティサービスと統合されるため、悪用に成功すると、インスタンスの完全な侵害、認証情報の窃取、ネットワーク内でのラテラルムーブメントにつながる可能性があります。
この問題は、コマンドインジェクションを介してCWE-434（危険な種類のファイルの無制限アップロード）を悪用する「認証済みリモートコード実行」として分類されています。
CVSSベクターCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:Hは、攻撃がネットワーク経由で可能で複雑性が低く、低権限のみで実行でき、ユーザー操作を必要とせず、スコープが変更されている（侵害がアプリケーションを超えて基盤となるホストシステムにまで及ぶ）ことを示しています。
この脆弱性は、n8nが特定のワークフローノードへの認証済みリクエストを処理する方法を特に標的としています。
侵害されたユーザーアカウントを利用する攻撃者、または正当だが信頼できないアクセス権を持つ者は、Gitノードを武器化して、アプリケーション権限でシェルコマンドを実行できる可能性があります。
組織は直ちにパッチ適用を最優先すべきです。n8nチームは、脆弱な入力をサニタイズし、影響を受けるノードの実行能力を制限するバージョン1.121.3をリリースしました。
特にインターネットにインスタンスを公開しているセルフホストユーザーはリスクが最も高く、遅滞なくアップグレードすべきです。
直ちにパッチを適用できない組織では、管理者はインスタンスへのアクセスを信頼できるユーザーのみに制限するアクセス制御を実装する必要があります。
一時的な回避策として、Gitノード機能を無効化することで、完全な修正が完了するまで攻撃対象領域を減らすことができます。
さらに、管理者はGitノードに関わる不審な活動や予期しないコマンド実行について、インスタンスログを確認すべきです。
n8nは、APIを介して独立したサービス同士を接続できる、無料のオープンソースのワークフロー自動化プラットフォームです。
このツールは、技術プロセスの自動化、データ同期、およびバックエンド開発のために広く導入されています。
その統合機能はエンタープライズ自動化において魅力的ですが、脆弱性が未修正のまま残ると潜在的なセキュリティリスクも生み出します。
CVE-2026-21877の発見は、重要なインフラコンポーネントとなる自動化プラットフォームにおいて、迅速な脆弱性対応が重要であることを浮き彫りにしています。
業務上重要なワークフローにn8nを利用している組織は、直ちにインスタンスをバージョン1.121.3以降へ更新すべきです。
翻訳元: https://cyberpress.org/critical-n8n-vulnerability/