n8n otomasyon platformunda, JFrog Güvenlik Araştırma ekibi tarafından keşfedilen iki yüksek şiddetli güvenlik açığı duyuruldu. Bu açıklar, yetkili kullanıcıların özel olarak hazırlanmış kodlar aracılığıyla platformda tam uzaktan kod çalıştırmasına izin veriyor. Özellikle CVE-2026-1470 ve CVE-2026-0863 kodlu zafiyetler, platformun Expression sandbox ve python-task-executor sandbox mekanizmalarını aşarak kritik risk oluşturuyor.
Saldırı Zinciri ve Teknik Detaylar
CVE-2026-1470, yetkili bir kullanıcının JavaScript eval enjeksiyonu yoluyla Expression sandbox korumasını atlamasına olanak tanıyor. Bu sayede n8n’nin ana düğümünde tam uzaktan kod çalıştırma mümkün hale geliyor. CVE-2026-0863 ise python-task-executor sandbox kısıtlamalarını aşarak işletim sisteminde rastgele Python kodu çalıştırılmasına izin veriyor. Her iki zafiyetin CVSS skorları sırasıyla 9.9 ve 8.5 olarak raporlandı.
Bu açıkların sömürülmesi, saldırganların n8n örneğinin tamamını ele geçirmesine yol açabilir. Özellikle internal yürütme modunda çalışan sistemlerde risk daha yüksek. n8n dokümantasyonu, üretim ortamlarında internal modun güvenlik riski taşıdığını belirterek external modun tercih edilmesini öneriyor.
Hangi Sistemler Risk Altında?
n8n, AI iş akışları, LLM API entegrasyonları, satış verileri ve dahili IAM sistemleri gibi kritik altyapı bileşenlerine erişim sağladığından, bu zafiyetler kurumsal ortamlarda geniş çaplı güvenlik ihlallerine zemin hazırlayabilir. Shadowserver Foundation verilerine göre, 27 Ocak 2026 itibarıyla 39.000’den fazla n8n örneği bu açıklar karşısında savunmasız durumda.
Siber Güvenlik Ekipleri İçin Öneriler
- n8n platformunu CVE-2026-1470 için 1.123.17, 2.4.5 veya 2.5.1 sürümlerine güncelleyin.
- CVE-2026-0863 için 1.123.14, 2.3.5 veya 2.4.2 sürümlerini kullanın.
- Üretim ortamlarında internal mod yerine external modda çalışmayı tercih edin ve görev çalıştırıcı süreçler arasında izolasyon sağlayın.
- EDR ve SIEM sistemlerinde n8n ile ilişkili komut çalıştırma ve sandbox atlama davranışlarını izleyen kurallar oluşturun.
- IAM politikalarını gözden geçirerek yetkili kullanıcı erişimlerini minimum ayrıcalık prensibine göre sınırlandırın.
- Platform loglarını düzenli olarak analiz ederek anormal JavaScript veya Python kod enjeksiyonu girişimlerini tespit edin.
- Ağ segmentasyonu ile n8n sunucularını kritik altyapıdan izole edin ve gereksiz port erişimlerini kısıtlayın.
Teknik Özet
- Zararlı teknikler: Yetkili kullanıcı eval enjeksiyonu, sandbox atlama
- Hedeflenen bileşenler: n8n Expression sandbox, python-task-executor sandbox
- İlgili CVE’ler: CVE-2026-1470, CVE-2026-0863
- Saldırı zinciri: Yetkili kullanıcı erişimi → özel hazırlanmış kod gönderimi → sandbox atlama → tam uzaktan kod çalıştırma
- Önerilen savunma: Güncelleme, erişim kısıtlaması, sandbox izolasyonu, EDR ve SIEM entegrasyonu
Bu gelişmeler, geçtiğimiz haftalarda Cyera Research Labs tarafından raporlanan ve kimlik doğrulaması gerektirmeyen Ni8mare (CVE-2026-21858) açığının ardından n8n platformundaki güvenlik risklerinin devam ettiğini gösteriyor. Siber güvenlik ekiplerinin, e-posta güvenliği, bulut güvenliği ve olay müdahale süreçlerini entegre ederek kapsamlı bir koruma stratejisi geliştirmesi kritik önem taşıyor.