つみかさね

CVE-2025-68613

Critical(9.9)

n8nのワークフロー式評価RCE脆弱性 CVE-2025-68613：影響範囲と対応方法

公開日: 2026-10-14データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
n8nn8n GmbH0.211.0 以降、1.120.4 / 1.121.1 / 1.122.0 より前

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1n8nのバージョンが影響範囲内かを確認する
  2. 21.120.4 / 1.121.1 / 1.122.0 以降へアップデートする
  3. 3アップデートが困難な場合はワークフロー編集権限を信頼できるユーザーに限定する回避策を適用する

影響対象

n8nの利用者・管理者

対応不要な人

  • ✓n8nを使用していない
  • ✓既に1.120.4 / 1.121.1 / 1.122.0 以降を利用している

補足

  • -回避策はリスクを完全には排除しないため、恒久対応としてのアップデートを優先してください
CVEn8nRCEワークフロー自動化

30秒で判断

  • 対応すべき人：n8n（バージョン0.211.0以降〜1.120.4・1.121.1・1.122.0の各直前バージョン）を運用している方
  • 対応不要な人：n8nを利用していない、または既に1.120.4 / 1.121.1 / 1.122.0以降を利用している方
  • 確認コマンド：n8nの管理画面またはパッケージ情報からバージョンを確認する

概要

オープンソースのワークフロー自動化基盤 n8n において、ワークフローの式（expression）評価システムが実行基盤から十分に分離されていないことに起因する、Remote Code Execution（RCE）の脆弱性です。認証済みユーザーがワークフロー設定時に細工した式を投入すると、n8nプロセスの権限で任意コードが実行される可能性があります。悪用された場合、インスタンス全体の侵害、機密データへの不正アクセス、ワークフローの改ざんに至るおそれがあります。Akamaiのブログでは、本脆弱性を狙うマルウェア（ZeroBot）の観測が報告されており、実環境での悪用が確認されています。

攻撃条件

項目内容
攻撃元区分ネットワーク（n8nインスタンスへのアクセスが前提）
必要な権限要（ワークフローの作成・編集権限を持つ認証済みユーザー）
ユーザー操作不要
CVSSスコア9.9（Critical）

影響を受けるソフトウェア

製品ベンダーバージョン
n8nn8n GmbH0.211.0以降〜1.120.4・1.121.1・1.122.0の各直前バージョン

修正バージョンと回避策

  • 修正バージョン: 1.120.4 / 1.121.1 / 1.122.0（いずれも追加の安全対策が組み込まれています）
  • アップデートがすぐ行えない場合の一時的な回避策:
    • ワークフローの作成・編集権限を完全に信頼できるユーザーのみに限定する
    • OSレベルの権限やネットワークアクセスを制限した環境でn8nを運用する
    • これらの回避策はリスクを完全には排除しないため、あくまで短期的な対応に留めてください

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2025-68613
GHSA:https://github.com/n8n-io/n8n/security/advisories/GHSA-v98v-ff95-f3cp
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。