n8nセキュリティ速報（2026年2月）：7件の重大な脆弱性と今すぐ実施すべき対策

2026年2月に公開されたn8nの重大な脆弱性7件（Critical 5件、High 2件）の詳細と、セルフホスト環境で今すぐ実施すべきアップデート対策を解説します。

#n8n

#automation

n8nセキュリティ速報（2026年2月）：7件の重大な脆弱性と今すぐ実施すべき対策

はじめに

ワークフロー自動化プラットフォームとして世界中の開発者や企業に利用されているn8nは、2026年2月25日に複数の重大な脆弱性に関するセキュリティ速報を公開しました。これらの脆弱性には、リモートで任意のコードが実行可能となる（RCE）など、極めて深刻な影響を及ぼすものが含まれています。セルフホスト環境でn8nを運用しているユーザーは、直ちに影響を確認し、対策を講じる必要があります。

本記事では、今回公開された各脆弱性の概要、想定されるリスク、そしてユーザーが取るべき具体的な対策について、初心者にも分かりやすく詳細に解説します。

詳しはこちらから

発表された脆弱性の概要

記事内イメージ

今回n8nから発表された脆弱性は、深刻度が「Critical (緊急)」5件、「High (重要)」2件の合計7件です。特にCriticalに分類される脆弱性は、攻撃者にシステムの完全な乗っ取りを許す可能性があり、最優先での対応が求められます。

以下に、今回修正された脆弱性の一覧を示します。

CVE番号	深刻度	概要	影響
CVE-2026-27577	Critical	Expression Sandbox Escape	リモートコード実行（RCE）
CVE-2026-27497	Critical	Merge NodeにおけるRCE	リモートコード実行（RCE）
CVE-2026-27495	Critical	JavaScript Task RunnerのSandbox Escape	リモートコード実行（RCE）
CVE-2026-27498	Critical	File WriteとGit操作による任意コマンド実行	任意コマンド実行
CVE-2026-27494	Critical	Python Code NodeのSandbox Escape	リモートコード実行（RCE）
CVE-2026-27493	High	Form Nodeにおける非認証でのExpression評価	情報漏洩、RCEの可能性
CVE-2026-27578	High	各種NodeにおけるStored XSS	クロスサイトスクリプティング

特に危険度の高いCritical脆弱性

今回のアップデートでは、5件の「Critical」な脆弱性が修正されました。これらは、n8nが動作しているサーバー上で攻撃者が自由にコマンドを実行できてしまうリモートコード実行（RCE）の脆弱性が中心です。

例えば、「CVE-2026-27577 (Expression Sandbox Escape)」は、n8nのExpression言語の処理におけるサンドボックス（安全な実行環境）を回避し、サーバーの基盤となるOS上で不正な操作を可能にするものです。また、「CVE-2026-27497 (Merge Node RCE)」は、特定のデータマージ処理を行うノードの不備を突くことで、同様にRCEに繋がる可能性がありました。

これらの脆弱性が悪用された場合、ワークフローの破壊や改ざん、サーバー内に保存されている機密情報（APIキー、顧客データなど）の窃取、さらには他のシステムへの攻撃の踏み台にされるなど、計り知れない被害に繋がる恐れがあります。

対策：今すぐn8nをアップデートしてください

これらの脆弱性からシステムを保護するための唯一の対策は、n8nを修正済みのバージョンにアップデートすることです。

n8n Cloudを利用している場合、n8nチームによって既に対応が完了しているため、ユーザー側での作業は不要です。

セルフホスト環境でn8nを運用しているユーザーは、利用中のバージョンを確認し、以下の通り速やかにアップデートを実施してください。

1.x系を利用中の場合:
- 対象: 1.123.22 未満のバージョン
- 修正済みバージョン: 1.123.22 以降
Stable (2.x系) を利用中の場合:
- 対象: 2.0.0 以上 2.9.3 未満のバージョン
- 修正済みバージョン: 2.9.3 以降
Beta (2.10.x系) を利用中の場合:
- 対象: 2.10.0 以上 2.10.1 未満のバージョン
- 修正済みバージョン: 2.10.1 以降