n8nの2026年2月：19のCVE、6つのクリティカル、移行すべき理由

JieGou has evolved.

Since this post was published, JieGou has pivoted from an AI automation platform to an AI-powered operations company delivering managed marketing and operations services. Learn about our managed services →

2026年2月、n8nは2つのセキュリティブレティンを発行し、合計19の脆弱性 – 6つのクリティカル（CVSS 9.4+）と3つの独立したリモートコード実行攻撃面を含む – を公開しました。各国のサイバーセキュリティ機関 – シンガポールのCSAとカナダのCCCS – が正式なアドバイザリーを発行しました。

これはパッチの問題ではありません。n8nの複数のサブシステムにわたる構造的なアーキテクチャ問題です。

2月6日：第1波 – 8つのCVE

月はn8nの2月6日ブレティンで8つの脆弱性の開示から始まりました。既知の式評価RCEと重要な新たな展開を含みます：CVE-2026-25049（CVSS 9.4）、これはオリジナルのCVSS 10.0式インジェクションRCEに対する2025年12月の修正をバイパスしたものです。

バイパスにより、これは一度きりのバグではないことが証明されました – n8nの式評価エンジンの根本的な設計上の欠陥のエビデンスです。ポイント修正は特定の攻撃ベクターに対処しますが、基盤となるアーキテクチャは新しい悪用手法に対して脆弱なままです。

2月25日：さらに11のCVE – 3つのクリティカル

3週間後、n8nは完全に独立したサブシステムにわたる3つの新しいクリティカル重大度の問題を含む11の追加脆弱性を公開しました：

CVE	重大度	説明
CVE-2026-27497	クリティカル（9.4）	SQLクエリモードがn8nサーバー上で任意のコード実行を許可
CVE-2026-27577	クリティカル（9.4）	式サンドボックスエスケープ – 操作されたパラメータによるシステムコマンド
CVE-2026-27495	クリティカル（9.4）	JavaScriptタスクランナーサンドボックスブレイクアウト – 任意のコード実行
CVE-2026-27578	高	ストアドXSS
CVE-2026-27493	高	Form Node経由の非認証式評価
+ 6つ	高/中	Chat認証バイパス、SSOバイパス、SQLインジェクション（MySQL/PostgreSQL/MSSQL）、webhookフォージェリ

1ヶ月で3つの独立したRCEベクター

2月25日のブレティンが特に警戒すべきなのは、3つの完全に独立したリモートコード実行パスを明らかにしているからです：

式評価 – ユーザー式を安全に評価するために設計されたサンドボックスがエスケープでき、任意のシステムコマンド実行が可能。これは2025年12月のRCEと2月のバイパスを生んだのと同じサブシステム – 今度は新しいエスケープ手法。
SQLクエリモード – SQL実行エンジンがn8nサーバー上での任意のコード実行を許可。式評価とは完全に別のサブシステム。
JavaScriptタスクランナー – サンドボックス化されたJavaScript実行環境からブレイクアウトでき、任意のコード実行が可能。こちらも完全に別のサブシステム。

各々がn8nのアーキテクチャの異なる部分における個別の攻撃面を表しています。1つをパッチしても他を保護しません。攻撃者は1つだけ見つければよいのです。

各国のサイバーセキュリティ機関が対応

n8nの2月の開示の深刻さにより、各国のサイバーセキュリティ機関が正式なアドバイザリーを発行しました：

シンガポールCSA（Cyber Security Agency of Singapore） – n8n脆弱性のアドバイザリーを発行
カナダCCCS（Canadian Centre for Cyber Security） – n8n脆弱性のアドバイザリーを発行

各国政府が自動化プラットフォームについて警告を発する時、緊急性は明白です。これらは重要インフラの脆弱性についてアドバイザリーを発行するのと同じ機関です。

パッチだけでは不十分な理由

2月を通じたパターンが明確なストーリーを語っています：

2月6日：2025年12月のパッチのバイパスを含む8つのCVE
2月25日：3つの別々のサブシステムにわたるさらに11のCVE
合計：19のCVE、6つのクリティカル、3つの独立したRCEベクター

脆弱性は以下に及びます：

式評価エンジン
SQL クエリ実行エンジン
JavaScriptタスクランナーサンドボックス
認証およびSSOシステム
フォーム評価エンドポイント
データベースコネクタ（MySQL、PostgreSQL、MSSQL）
Webhookハンドリング

この広範さはアーキテクチャレベルのシステム的なセキュリティ問題を示唆しており、孤立したバグではありません。

2026年2月CVEサマリー

メトリック	数
2026年2月の合計CVE	19
クリティカル重大度（CVSS 9.4+）	6
独立したRCEベクター	3
各国機関アドバイザリー	2（シンガポールCSA、カナダCCCS）
2月のパッチラウンド	2（2月6日 + 2月25日）
露出インスタンス（Censys）	26,512

パッチ利用可能：n8n 2.10.1、2.9.3、1.123.22。すべてのセルフホストインスタンスは即座にアップグレードすべきです。

移行パス

JieGouのn8nインポートウィザードがn8nワークフローJSONエクスポートをJieGouワークフローに自動変換します：

n8nワークフローをエクスポート（設定 → すべてのワークフローをエクスポート）
JSONをJieGouのインポートウィザードにアップロード
変換をレビュー – 47以上のノードタイプマッピングが自動処理
マネージドホスティング、ゼロパッチ、SOC 2対応コンプライアンスインフラでデプロイ

セキュリティ比較

次元	JieGou	n8n
CVE（2026年2月）	0	合計19、6つクリティカル
RCEベクター	N/A	3つ独立
政府アドバイザリー	不要	シンガポールCSA、カナダCCCS
露出インスタンス	N/A（クラウド + VPC）	26,512
SOC 2	技術完了、15ポリシー、監査保留中	利用不可
保存時暗号化	AES-256-GCM（BYOK）	含まれない（コミュニティ）
RBAC	6ロール、20パーミッション	基本的（admin / editor）
監査ログ	30アクションタイプ、不変	含まれない（コミュニティ）

移行を開始

1ヶ月で19の脆弱性。3つの独立したリモートコード実行攻撃面。各国のサイバーセキュリティ機関が正式なアドバイザリーを発行。

n8nを実行している場合 – 特にセルフホスト – リスクプロファイルが根本的に変わりました。

n8nワークフローをインポート – 47以上のノードマッピングによる自動インポート
移行ガイドを読む – ステップバイステップの技術ウォークスルー
JieGou vs. n8nを比較 – 完全な機能とセキュリティ比較