対象CVE: CVE-2026-49444

[緊急] n8nに深刻なRCE脆弱性 (GHSA-9pq8-m8gp-4p53) - フロントエンドエンジニアが知るべきこと

自動化ツールn8nのPythonタスクランナー機能に、ログイン済みの悪意あるユーザーがサンドボックスを迂回してサーバー上で任意のコードを実行できる、深刻度Highのリモートコード実行（RCE）脆弱性が発見されました。Pythonタスクランナーを利用している場合は、速やかなアップデートが強く推奨されます。

はじめに：なぜフロントエンドエンジニアも知るべきか

皆さんは「n8n」というツールをご存知でしょうか？ n8nは、さまざまなサービスやAPIを連携させ、複雑なワークフローをノーコード・ローコードで自動化できる強力なツールです。直接フロントエンド開発に関わることは少ないかもしれませんが、CI/CDパイプラインの自動化、テスト結果の通知、デプロイ後のキャッシュクリアなど、開発フローの裏側で利用されているケースも少なくありません。

今回、このn8nに深刻度Highの脆弱性が報告されました。サーバー上で任意のコードが実行される可能性がある、いわゆる「リモートコード実行（RCE）」の脆弱性です。もしあなたのチームやプロジェクトでn8nが稼働しており、特にPythonタスクランナー機能を使用している場合は、早急な対応が求められます。この脆弱性の詳細と、取るべき対策について解説します。

脆弱性の概要：ログイン済みユーザーによるサーバー乗っ取りの危険性

対象の脆弱性情報は以下の通りです。

<ul><li>ID: GHSA-9pq8-m8gp-4p53</li><li>CVE ID: CVE-2026-49444</li><li>深刻度: High</li><li>概要: n8nのPythonコード実行機能において、ログイン済みの悪意あるユーザーがサーバー上で任意のプログラムを実行できる脆弱性。サンドボックスをすり抜け、n8nが動作しているサーバー環境が乗っ取られる危険性があります。</li></ul>

この脆弱性は、n8nにログインしているユーザーが悪意のあるPythonコードを作成・実行できる場合に発生します。n8nでは、セキュリティのためPythonコードの実行環境を「サンドボックス」で隔離していますが、この脆弱性を悪用することで、サンドボックスの隔離を突破し、n8nが稼働している基盤（サーバーやコンテナ）上で好きなコマンドを実行できてしまう、というものです。これにより、データ漏洩、システム破壊、さらには他のシステムへの攻撃の踏み台にされるなど、極めて深刻な被害につながる可能性があります。

影響を受けるシステムと対象バージョン

この脆弱性の影響を受けるのは、以下の条件を満たすn8nインスタンスです。

<ul><li>n8nのPythonタスクランナーが有効になっているインスタンス。</li></ul>

もしPythonタスクランナーを使用していない場合は、この脆弱性の直接的な影響は受けません。しかし、セキュリティリスクを低減するためには、常に最新の状態を保つことが推奨されます。具体的には、以下のバージョンで修正されています。

<ul><li>n8nバージョン 1.123.48 以降</li><li>n8nバージョン 2.21.8 以降</li><li>n8nバージョン 2.22.4 以降</li></ul>

推奨される対策：速やかなアップデートを

最も推奨される対策は、影響を受けるn8nインスタンスを、上記の修正済みバージョンまたはそれ以降の最新バージョンに速やかにアップグレードすることです。システムの安定性や互換性を確認しつつ、可能な限り早く実施してください。

一時的な緩和策（アップデートが難しい場合）

直ちにアップデートが難しい場合は、以下のいずれかの方法で一時的な緩和策を講じることができます。ただし、これらはリスクを完全に解消するものではなく、あくまで一時的な対応であることを理解した上で、最終的にはアップデートを実施してください。

<ol><li>ワークフローの作成・編集権限を厳格化する: n8nのワークフロー作成・編集権限を、完全に信頼できるユーザーのみに限定します。この脆弱性はログイン済みの悪意あるユーザーが利用するため、権限の厳格化はリスクを低減します。</li><li>Python CodeノードまたはPythonタスクランナーを無効にする: <ul><li>環境変数 <code>NODES_EXCLUDE</code> に <code>n8n-nodes-base.code</code> を追加して、Python Codeノード自体を無効化する。</li><li>あるいは、Pythonタスクランナー自体を完全に無効化する。</li></ul></li></ol>

これらの緩和策は、悪用される可能性のある機能を制限することでリスクを軽減しますが、根本的な解決にはなりません。可能な限り早く、推奨されるバージョンへのアップデートを実施してください。

まとめとフロントエンドエンジニアへの注意喚起

今回のn8nの脆弱性は、自動化ツールやバックエンドインフラのセキュリティがいかに重要かを示しています。フロントエンドエンジニアであっても、自分が関わるプロジェクトやチームが利用しているツールやサービスのセキュリティ情報には常にアンテナを張り、異常があれば迅速に連携・対応できる体制を整えておくことが大切です。

もしあなたのチームでn8nを利用しており、特にPythonタスクランナーが有効になっている場合は、システム管理者やDevOps担当者に本情報を共有し、速やかなアップデートを強く推奨してください。セキュリティはチーム全員で守るものです。常に最新の情報をキャッチアップし、安全な開発環境を維持していきましょう。