Wichtige Erkenntnisse
- Eine kritische, nicht authentifizierte Sicherheitslücke (CVE-2026-21858, CVSS 10.0) betrifft n8n, eine weit verbreitete Plattform zur Automatisierung von Arbeitsabläufen.
- Die Sicherheitslücke ermöglicht die vollständige Kompromittierung lokal bereitgestellter n8n-Instanzen, einschließlich willkürlichem Dateizugriff, Umgehung der Authentifizierung und Ausführung von Befehlen.
- Das Problem wurde von Cyera Research Labs entdeckt und verantwortungsbewusst offengelegt, die es „Ni8mare” nannten und kurz darauf Patches veröffentlichten.
- Organisationen, die betroffene n8n-Versionen verwenden, sollten umgehend ein Upgrade durchführen und die Exposition von Formularen und Webhooks überprüfen.
- Jüngste Enthüllungen zeigen, dass Automatisierungsplattformen aufgrund ihres Zugriffs auf Anmeldedaten, APIs und interne Systeme besonders anfällig für Angriffe sind.
Zusätzlich zu CVE-2026-21858 hat n8n im gleichen Zeitraum weitere kritische Schwachstellen offengelegt, darunter Probleme im Zusammenhang mit dem Zugriff auf beliebige Dateien und der Ausführung von authentifiziertem Remote-Code. Auch wenn die Ursachen unterschiedlich sind, unterstreichen sie doch gemeinsam die Bedeutung zeitnaher Upgrades und der Minimierung der Gefährdung von Workflow-Einstiegspunkten.
TL;DR: So überprüfen Sie, ob Sie betroffen sind
Sie sind möglicherweise betroffen, wenn Sie eine selbst gehostete n8n-Instanz auf einer Version innerhalb der von n8n bekannt gegebenen betroffenen Bereiche betreiben, insbesondere auf Versionen vor 1.121.0 und in einigen Fällen vor 1.121.3, je nach Konfiguration und aktivierten Funktionen. Das Risiko ist am höchsten, wenn Formulare oder Webhooks öffentlich zugänglich sind.
Option 1: Aikido verwenden Aikido kostenlos)
Aikido Teams dabei, Folgendes zu erkennen:
- n8n-Instanzen, auf denen anfällige Versionen ausgeführt werden
- Internet-exponierte Formulare und Webhooks
- Workflow-Konfigurationen, die die Ausnutzbarkeit sinnvoll erhöhen
Diese Sichtbarkeit ist in der kostenlosen Version der Aikido verfügbar .
Option 2: Manuelle Überprüfung
- Überprüfen Sie Ihre aktuelle n8n-Version.
- Überprüfen Sie, ob Formular-Knoten nicht authentifizierte Eingaben akzeptieren.
- Überprüfen Sie die Sichtbarkeit der Endpunkte /form und /webhook.
- Überprüfen Sie aktivierte Knoten, die Dateizugriff oder Befehlsausführung zulassen.
Abhilfemaßnahmen
Organisationen, die betroffene Versionen verwenden, sollten:
- Aktualisieren Sie n8n auf Version 1.121.0 oder höher und gegebenenfalls auf 1.121.3.
- Unnötige Internet-Exposition von n8n einschränken
- Authentifizierung für alle Formulare erforderlich
- API-Schlüssel, OAuth-Token und Anmeldedaten, die in Workflows gespeichert sind, rotieren
- Überprüfen Sie die Protokolle zur Ausführung von Workflows auf verdächtige Aktivitäten.
- Den Knoten „Befehl ausführen“ einschränken oder deaktivieren, sofern dies nicht unbedingt erforderlich ist.
Wer ist betroffen?
Sie könnten betroffen sein, wenn:
- Sie betreiben eine lokal bereitgestellte n8n-Instanz.
- Ihre Version fällt in die von n8n bekannt gegebenen betroffenen Bereiche.
- Sie legen Formular- oder Webhook-Knoten für nicht vertrauenswürdige Benutzer offen.
Während einige kürzlich bekannt gewordene n8n-Sicherheitslücken einen authentifizierten Benutzer erfordern, betreffen die schwerwiegendsten Angriffswege den nicht authentifizierten Zugriff auf öffentlich zugängliche Formulare oder Webhooks. Diese Probleme betreffen in erster Linie selbst gehostete Bereitstellungen und weniger verwaltete SaaS-Umgebungen.
Hintergrund
n8n wird häufig zur Koordinierung von Arbeitsabläufen über Cloud-Dienste, interne Tools, KI-Systeme und Geschäftsprozesse hinweg eingesetzt.
Aus diesem Grund hat eine einzelne n8n-Instanz oft umfassenden Zugriff auf interne Systeme, privilegierte Anmeldedaten und Tokens und kann Aktionen über verschiedene Umgebungen hinweg auslösen. Das macht Automatisierungsplattformen zu einem hochinteressanten Ziel für Angreifer.
Worum geht es bei dem Angriff?
CVE-2026-21858 nutzt eine Schwachstelle in der Art und Weise aus, wie n8n eingehende HTTP-Anfragen an Form Webhooks analysiert.
Auf hoher Ebene:
- Das Parsing-Verhalten von Anfragen hängt vom Content-Type-Header ab.
- Bestimmte Dateiverarbeitungslogiken gehen von mehrteiligen Uploads aus.
- Angreifer können interne Dateiverweise mithilfe von manipulierten JSON-Daten überschreiben.
Dadurch können Angreifer:
- Beliebige Dateien von der Festplatte lesen
- secrets Datenbanken extrahieren
- Forge-Authentifizierungssitzungen
- Beliebige Befehle ausführen
Anfängliche Auswirkungen
Laut einer Studie von Cyera:
- Weltweit könnten schätzungsweise 100.000 Server betroffen sein .
- Unternehmen aus verschiedenen Branchen sind davon betroffen.
- Zu den potenziell gefährdeten Vermögenswerten gehören:
- Cloud API-Anmeldedaten
- OAuth-Token
- CI/CD secrets
- Sensible Geschäftsdaten
- Cloud API-Anmeldedaten
Technischer Tiefgang
Wo die Schwachstelle lag
Der Fehler liegt im Form Webhook-Knoten, der Datei-Uploads verarbeitet.
Im Gegensatz zu anderen Webhook-Handlern erzwingt dieser Pfad keine strenge Validierung von Multipart-Inhalten, geht davon aus, dass interne Dateiobjekte vertrauenswürdig sind, und kopiert vom Angreifer kontrollierte Dateipfade in den persistenten Speicher.
Was es bewirken könnte
Durch Ausnutzen dieser Schwachstelle können Angreifer:
- Dateien wie /etc/passwd lesen
- Extrahieren Sie die lokale SQLite-Datenbank.
- Verschlüsselungsschlüssel wiederherstellen
- Gültige Admin-Sitzungen erstellen
- Beliebige Betriebssystembefehle ausführen
Proof of Concept (auf hoher Ebene)
Cyera demonstrierte eine vollständige Kompromittierungskette:
- Beliebige Datei wird über Formularübermittlung gelesen
- Abrufen von Anmeldedaten und geheimen Informationen aus der Datenbank
- Sitzungsfälschung unter Verwendung wiederhergestellter Signaturmaterialien
- Vollständige Remote-Codeausführung
Warum diese Schwachstellen auftreten
Diese Probleme treten in der Regel auf, wenn:
- Benutzereingaben beeinflussen vertrauenswürdige interne Objekte
- Annahmen zum Content-Type sind implizit und nicht zwingend vorgeschrieben.
- Plattformen sammeln hohe Privilegien und umfassende Konnektivität an.
- Die Verbesserung der Sicherheit hinkt der Erweiterung der Funktionen hinterher.
FAQ: Kritische Sicherheitslücken in n8n erklärt
Ist das dasselbe Problem wie bei anderen aktuellen n8n-CVEs?
Nein. CVE-2026-21858 ist eine nicht authentifizierte Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht und mit der unsachgemäßen Verarbeitung von Webhook- und Formularanfragen zusammenhängt.
Andere aktuelle n8n-Sicherheitshinweise beschreiben verschiedene Probleme, darunter authentifizierte Schwachstellen, die den Zugriff auf beliebige Dateien oder das Schreiben von Dateien betreffen. Obwohl sie sich technisch unterscheiden, bergen sie ähnliche Risiken, wenn Workflow-Einstiegspunkte allgemein zugänglich sind.
Betrifft dies auch n8n Cloud nur selbst gehostete Bereitstellungen?
Dieses Problem betrifft in erster Linie selbst gehostete n8n-Instanzen.
Die schwerwiegendsten Angriffswege basieren auf dem Zugriff auf lokale Dateien und secrets auf Instanzebene, die in verwalteten Umgebungen nicht in gleicher Weise offengelegt werden.
Erfordert die Ausnutzung eine Authentifizierung?
Nein. Für CVE-2026-21858 ist keine Authentifizierung erforderlich, wenn anfällige Endpunkte offengelegt sind.
Nicht authentifizierte Angriffswege sind in der Regel mit einem höheren Risiko verbunden, da sie aus der Ferne und in großem Umfang ausgenutzt werden können.
Wenn ich ein Upgrade durchführe, bin ich dann vollständig geschützt?
Durch ein Upgrade auf die gepatchten Versionen werden die bekannten Sicherheitslücken behoben. Die Sicherheit hängt jedoch auch von der Konfiguration ab.
Teams sollten Upgrades mit reduzierter Exposition, authentifizierten Formularen und einer sorgfältigen Überprüfung von risikoreichen Workflow-Knoten kombinieren.
Warum werden Automatisierungsplattformen immer häufiger angegriffen?
Automatisierungsplattformen verbinden viele Systeme miteinander und verfügen über privilegierte Zugangsdaten. Die Kompromittierung einer Plattform kann den Zugriff auf mehrere nachgelagerte Systeme ermöglichen, was sie zu attraktiven Zielen für Angreifer macht.
Wie Aikido bei solchen Problemen?
Aikido Teams:
- Erkennen Sie anfällige Automatisierungsplattformen in realen Umgebungen.
- Identifizieren Sie exponierte Formulare, Webhooks und riskante Workflow-Einstiegspunkte.
- Priorisieren Sie Probleme anhand realer Exploit-Pfade und nicht nur anhand der CVE-Schwere.
- Handeln Sie schnell mit klaren Sanierungsrichtlinien
Fazit
Diese Schwachstelle verdeutlicht eine umfassendere Realität. Automatisierungsplattformen sind zu einer kritischen Infrastruktur geworden.
Um sie zu sichern, sind zeitnahe Patches, eine Reduzierung der Angriffsfläche und Einblicke in die tatsächliche Ausnutzung von Schwachstellen in realen Umgebungen erforderlich.
Anhang
- CVE: CVE-2026-21858
- Betroffene Versionen: Versionen vor 1.121.0 und in einigen Fällen vor 1.121.3
- Angriffstyp: Nicht authentifizierte Remote-Codeausführung
- Komponenten: Formular-Webhook, Dateiverwaltung, Sitzungsmanagement
Referenzen
- Cyera Research Labs: Nicht authentifizierte Remote-Codeausführung in n8n
- GitHub-Sicherheitshinweise
- Aikido
Sichern Sie Ihre Software jetzt.
<script type="application/ld+json">
{
„@context“: „https://schema.org“,
„@graph“: [
{
„@type“: „Organisation“,
„@id“: „https://www.aikido.dev/#organization“,
"name": "Aikido ",
"url": "https://www.aikido.dev/",
"logo": {
„@type“: „ImageObject“,
„@id“: „https://www.aikido.dev/#logo“,
„url“: „https://cdn.prod.website-files.com/642adcaf364024552e71df01/642adcaf364024443a71df7a_logo-full-dark.svg“
},
„sameAs“: [
„https://www.linkedin.com/company/aikido-security/“,
„https://x.com/aikidosecurity“,
„https://www.youtube.com/@aikidosecurity“
]
},
{
„@type“: „WebSite“,
„@id“: „https://www.aikido.dev/#website“,
"url": "https://www.aikido.dev/",
"name": "Aikido",
"publisher": {
„@id“: „https://www.aikido.dev/#organization“
},
„inLanguage“: „en“
},
{
„@type“: „WebSeite“,
„@id“: „https://www.aikido.dev/blog/n8n-rce-vulnerability-cve-2026-21858#webpage“,
"url": "https://www.aikido.dev/blog/n8n-rce-vulnerability-cve-2026-21858",
„name“: „Kritische Sicherheitslücke in n8n (CVE-2026-21858) | Unauthentifizierter RCE erklärt“,
"isPartOf": {
„@id“: „https://www.aikido.dev/#website“
},
„inLanguage“: „en“,
"breadcrumb": {
„@id“: „https://www.aikido.dev/blog/n8n-rce-vulnerability-cve-2026-21858#breadcrumb“
}
},
{
„@type“: „BreadcrumbList“,
„@id“: „https://www.aikido.dev/blog/n8n-rce-vulnerability-cve-2026-21858#breadcrumb“,
"itemListElement": [
{
„@type“: „ListItem“,
„Position“: 1,
"name": "Home",
„item“: „https://www.aikido.dev/“
},
{
„@type“: „ListItem“,
„Position“: 2,
"name": "Blog",
„item“: „https://www.aikido.dev/blog“
},
{
„@type“: „ListItem“,
„Position“: 3,
„name“: „Schwachstellen und Bedrohungen“,
„item“: „https://www.aikido.dev/blog“
},
{
„@type“: „ListItem“,
„Position“: 4,
"name": "Kritische Sicherheitslücke in n8n ermöglicht nicht authentifizierte Remote-Codeausführung (CVE-2026-21858)",
„item“: „https://www.aikido.dev/blog/n8n-rce-vulnerability-cve-2026-21858“
}
]
},
{
„@type“: „Person“,
„@id“: „https://www.aikido.dev/team-members/sooraj-shah#person“,
"name": "Sooraj Shah",
"url": "https://www.aikido.dev/team-members/sooraj-shah",
„jobTitle“: „Leiter Content-Marketing“,
"worksFor": {
„@id“: „https://www.aikido.dev/#organization“
},
„sameAs“: [
„https://www.linkedin.com/in/soorajshah/“
],
"image": {
„@type“: „ImageObject“,
„url“: „https://cdn.prod.website-files.com/642adcaf364024654c71df23/685041c2836d827b7f40d3ef_Sooraj-Shah.jpg“
}
},
{
„@type“: „BlogPosting“,
„@id“: „https://www.aikido.dev/blog/n8n-rce-vulnerability-cve-2026-21858#blogposting“,
"mainEntityOfPage": {
„@id“: „https://www.aikido.dev/blog/n8n-rce-vulnerability-cve-2026-21858#webpage“
},
„Überschrift“: „Kritische Sicherheitslücke in n8n ermöglicht nicht authentifizierte Remote-Codeausführung (CVE-2026-21858)“,
„Beschreibung“: „Eine kritische Sicherheitslücke in n8n (CVE-2026-21858) ermöglicht die nicht authentifizierte Remote-Codeausführung auf selbst gehosteten Instanzen. Erfahren Sie, wer davon betroffen ist und wie Sie Abhilfe schaffen können.“
„datePublished“: „2026-01-08“,
„dateModified“: „2026-01-08“,
"author": {
„@id“: „https://www.aikido.dev/team-members/sooraj-shah#person“
},
"publisher": {
„@id“: „https://www.aikido.dev/#organization“
},
"image": {
„@type“: „ImageObject“,
„@id“: „https://www.aikido.dev/blog/n8n-rce-vulnerability-cve-2026-21858#primaryimage“,
„url“: „https://cdn.prod.website-files.com/642adcaf364024552e71df01/68d1233973be6f8e808d9e65_Frame%2017.svg“
},
„articleSection“: „Schwachstellen und Bedrohungen“,
„inLanguage“: „en“,
"Schlüsselwörter": [
„n8n“,
„CVE-2026-21858“,
„RCE“,
„Remote-Code-Ausführung“,
„Verwundbarkeit“,
„nicht authentifizierter RCE“,
"Sicherheit bei der Automatisierung von Arbeitsabläufen"
]
},
{
„@type“: „FAQPage“,
„@id“: „https://www.aikido.dev/blog/n8n-rce-vulnerability-cve-2026-21858#faq“,
"mainEntity": [
{
„@type“: „Frage“,
„name“: „Ist dies dasselbe Problem wie bei anderen aktuellen n8n-CVEs?“,
"acceptedAnswer": {
„@type“: „Antwort“,
„text“: „Nein. CVE-2026-21858 ist eine nicht authentifizierte Sicherheitslücke zur Remote-Codeausführung, die mit der unsachgemäßen Verarbeitung von Webhook- und Formularanfragen zusammenhängt. Andere aktuelle n8n-Sicherheitshinweise beschreiben verschiedene Probleme, darunter authentifizierte Sicherheitslücken, die den Zugriff auf beliebige Dateien oder das Schreiben von Dateien betreffen. Obwohl sie sich technisch unterscheiden, bergen sie ähnliche Risiken, wenn Workflow-Einstiegspunkte allgemein zugänglich sind.“
}
},
{
„@type“: „Frage“,
"name": "Betrifft dies Cloud n8n Cloud nur selbst gehostete Bereitstellungen?",
"acceptedAnswer": {
„@type“: „Antwort“,
„text“: „Dieses Problem betrifft in erster Linie selbst gehostete n8n-Instanzen. Die schwerwiegendsten Angriffswege basieren auf dem Zugriff auf lokale Dateien und secrets auf Instanzebene, die in verwalteten Umgebungen nicht in gleicher Weise offengelegt werden.“
}
},
{
„@type“: „Frage“,
"name": "Erfordert die Nutzung eine Authentifizierung?",
"acceptedAnswer": {
„@type“: „Antwort“,
„text“: „Nein. Bei CVE-2026-21858 ist keine Authentifizierung erforderlich, wenn anfällige Endpunkte offengelegt sind. Nicht authentifizierte Angriffspfade sind in der Regel mit einem höheren Risiko verbunden, da sie aus der Ferne und in großem Umfang ausgenutzt werden können.“
}
},
{
„@type“: „Frage“,
„name“: „Bin ich nach einem Upgrade vollständig geschützt?“,
"acceptedAnswer": {
„@type“: „Antwort“,
„text“: „Durch ein Upgrade auf die gepatchten Versionen werden die bekannten Sicherheitslücken behoben. Die Sicherheit hängt jedoch auch von der Konfiguration ab. Teams sollten Upgrades mit einer reduzierten Exposition, authentifizierten Formularen und einer sorgfältigen Überprüfung von risikoreichen Workflow-Knoten kombinieren.“
}
},
{
„@type“: „Frage“,
"name": "Warum werden Automatisierungsplattformen immer häufiger angegriffen?",
"acceptedAnswer": {
„@type“: „Antwort“,
„text“: „Automatisierungsplattformen verbinden viele Systeme miteinander und verfügen über privilegierte Zugangsdaten. Die Kompromittierung einer Plattform kann den Zugriff auf mehrere nachgelagerte Systeme ermöglichen, was sie zu attraktiven Zielen für Angreifer macht.“
}
},
{
„@type“: „Frage“,
„name“: „Wie Aikido bei solchen Problemen?“,
"acceptedAnswer": {
„@type“: „Antwort“,
„Text“:Aikido TeamsAikido , anfällige Automatisierungsplattformen in realen Umgebungen zu erkennen, exponierte Formulare, Webhooks und riskante Workflow-Einstiegspunkte zu identifizieren, Probleme auf der Grundlage realer Exploit-Pfade (nicht nur der CVE-Schwere) zu priorisieren und mit klaren Abhilfemaßnahmen schnell zu handeln.“
}
}
]
}
]
}
</script>
.avif)
