2026年2月、n8nは2つのセキュリティブレティンを発行し、合計19の脆弱性 — 6つのクリティカル（CVSS 9.4+）と3つの独立したリモートコード実行攻撃面を含む — を公開しました。各国のサイバーセキュリティ機関 — シンガポールのCSAとカナダのCCCS — が正式なアドバイザリーを発行しました。
これはパッチの問題ではありません。n8nの複数のサブシステムにわたる構造的なアーキテクチャ問題です。
2月6日：第1波 — 8つのCVE
月はn8nの2月6日ブレティンで8つの脆弱性の開示から始まりました。既知の式評価RCEと重要な新たな展開を含みます：CVE-2026-25049（CVSS 9.4）、これはオリジナルのCVSS 10.0式インジェクションRCEに対する2025年12月の修正をバイパスしたものです。
バイパスにより、これは一度きりのバグではないことが証明されました — n8nの式評価エンジンの根本的な設計上の欠陥のエビデンスです。ポイント修正は特定の攻撃ベクターに対処しますが、基盤となるアーキテクチャは新しい悪用手法に対して脆弱なままです。
2月25日：さらに11のCVE — 3つのクリティカル
3週間後、n8nは完全に独立したサブシステムにわたる3つの新しいクリティカル重大度の問題を含む11の追加脆弱性を公開しました：
| CVE | 重大度 | 説明 |
|---|---|---|
| CVE-2026-27497 | クリティカル（9.4） | SQLクエリモードがn8nサーバー上で任意のコード実行を許可 |
| CVE-2026-27577 | クリティカル（9.4） | 式サンドボックスエスケープ — 操作されたパラメータによるシステムコマンド |
| CVE-2026-27495 | クリティカル（9.4） | JavaScriptタスクランナーサンドボックスブレイクアウト — 任意のコード実行 |
| CVE-2026-27578 | 高 | ストアドXSS |
| CVE-2026-27493 | 高 | Form Node経由の非認証式評価 |
| + 6つ | 高/中 | Chat認証バイパス、SSOバイパス、SQLインジェクション（MySQL/PostgreSQL/MSSQL）、webhookフォージェリ |
1ヶ月で3つの独立したRCEベクター
2月25日のブレティンが特に警戒すべきなのは、3つの完全に独立したリモートコード実行パスを明らかにしているからです：
-
式評価 — ユーザー式を安全に評価するために設計されたサンドボックスがエスケープでき、任意のシステムコマンド実行が可能。これは2025年12月のRCEと2月のバイパスを生んだのと同じサブシステム — 今度は新しいエスケープ手法。
-
SQLクエリモード — SQL実行エンジンがn8nサーバー上での任意のコード実行を許可。式評価とは完全に別のサブシステム。
-
JavaScriptタスクランナー — サンドボックス化されたJavaScript実行環境からブレイクアウトでき、任意のコード実行が可能。こちらも完全に別のサブシステム。
各々がn8nのアーキテクチャの異なる部分における個別の攻撃面を表しています。1つをパッチしても他を保護しません。攻撃者は1つだけ見つければよいのです。
各国のサイバーセキュリティ機関が対応
n8nの2月の開示の深刻さにより、各国のサイバーセキュリティ機関が正式なアドバイザリーを発行しました：
- シンガポールCSA（Cyber Security Agency of Singapore） — n8n脆弱性のアドバイザリーを発行
- カナダCCCS（Canadian Centre for Cyber Security） — n8n脆弱性のアドバイザリーを発行
各国政府が自動化プラットフォームについて警告を発する時、緊急性は明白です。これらは重要インフラの脆弱性についてアドバイザリーを発行するのと同じ機関です。
パッチだけでは不十分な理由
2月を通じたパターンが明確なストーリーを語っています：
- 2月6日：2025年12月のパッチのバイパスを含む8つのCVE
- 2月25日：3つの別々のサブシステムにわたるさらに11のCVE
- 合計：19のCVE、6つのクリティカル、3つの独立したRCEベクター
脆弱性は以下に及びます：
- 式評価エンジン
- SQL クエリ実行エンジン
- JavaScriptタスクランナーサンドボックス
- 認証およびSSOシステム
- フォーム評価エンドポイント
- データベースコネクタ（MySQL、PostgreSQL、MSSQL）
- Webhookハンドリング
この広範さはアーキテクチャレベルのシステム的なセキュリティ問題を示唆しており、孤立したバグではありません。
2026年2月CVEサマリー
| メトリック | 数 |
|---|---|
| 2026年2月の合計CVE | 19 |
| クリティカル重大度（CVSS 9.4+） | 6 |
| 独立したRCEベクター | 3 |
| 各国機関アドバイザリー | 2（シンガポールCSA、カナダCCCS） |
| 2月のパッチラウンド | 2（2月6日 + 2月25日） |
| 露出インスタンス（Censys） | 26,512 |
パッチ利用可能：n8n 2.10.1、2.9.3、1.123.22。すべてのセルフホストインスタンスは即座にアップグレードすべきです。
移行パス
JieGouのn8nインポートウィザードがn8nワークフローJSONエクスポートをJieGouワークフローに自動変換します：
- n8nワークフローをエクスポート（設定 → すべてのワークフローをエクスポート）
- JSONをJieGouのインポートウィザードにアップロード
- 変換をレビュー — 47以上のノードタイプマッピングが自動処理
- マネージドホスティング、ゼロパッチ、SOC 2対応コンプライアンスインフラでデプロイ
セキュリティ比較
| 次元 | JieGou | n8n |
|---|---|---|
| CVE（2026年2月） | 0 | 合計19、6つクリティカル |
| RCEベクター | N/A | 3つ独立 |
| 政府アドバイザリー | 不要 | シンガポールCSA、カナダCCCS |
| 露出インスタンス | N/A（クラウド + VPC） | 26,512 |
| SOC 2 | 技術完了、15ポリシー、監査保留中 | 利用不可 |
| 保存時暗号化 | AES-256-GCM（BYOK） | 含まれない（コミュニティ） |
| RBAC | 6ロール、20パーミッション | 基本的（admin / editor） |
| 監査ログ | 30アクションタイプ、不変 | 含まれない（コミュニティ） |
移行を開始
1ヶ月で19の脆弱性。3つの独立したリモートコード実行攻撃面。各国のサイバーセキュリティ機関が正式なアドバイザリーを発行。
n8nを実行している場合 — 特にセルフホスト — リスクプロファイルが根本的に変わりました。
- n8nワークフローをインポート — 47以上のノードマッピングによる自動インポート
- 移行ガイドを読む — ステップバイステップの技術ウォークスルー
- JieGou vs. n8nを比較 — 完全な機能とセキュリティ比較