n8n - конструктор сценариев автоматизации. Из готовых блоков в нём собирают цепочки вроде «заявка с сайта - сделка в CRM - сообщение менеджеру», в том числе с шагами на нейросети. Работать с ним можно в платном облаке производителя, но компаниям из России оно недоступно. Им остаётся бесплатная установка на своём сервере, и обновлять программу тогда придётся самим.
Чем это оборачивается, показала уязвимость Ni8mare с оценкой опасности 10 из 10, раскрытая в январе 2026 года. Через неё посторонний без пароля при определённой настройке мог получить полный контроль над n8n, а на своих серверах закрыть её могли только сами владельцы, поставив новую версию. Поэтому до запуска стоит решить, кто ставит обновления и у кого доступ к серверу. Отдельно проверьте, что разрешает лицензия.
Исправление вышло раньше новости об уязвимости
Исследователи Cyera сообщили разработчикам об уязвимости в начале ноября 2025 года. Исправленная версия 1.121.0 вышла 18 ноября, а описание опубликовали только 7 января. Уязвимость была опасна, если в конструкторе работал сценарий с общедоступной формой, которая принимает файл и отдаёт файл в ответ.
Вред мог выйти за пределы самого n8n, потому что в нём часто хранятся ключи к системам, которые он связывает, - облачным дискам, базам данных, CRM. Через четыре дня после раскрытия фонд Shadowserver насчитал в интернете почти 60 000 открытых серверов с n8n без исправления. Сейчас уязвимость закрыта, и серверам на версии 1.121.0 и новее она не грозит. Но это планка только для Ni8mare: в следующих версиях n8n закрыл ещё несколько критических уязвимостей, так что ориентир - последняя версия.
Кто обновляет облако, а кто - свой сервер
В облаке производитель сам обновляет программу у всех клиентов не реже раза в две недели, «чтобы исправления безопасности дошли до всех». Но с 7 марта 2022 года n8n перестал принимать облачных клиентов из России и Белоруссии и брать оттуда оплату, а доступ к исходному коду для своей установки сохранил.
Обслуживание своей установки документация называет «вашей ответственностью» (цитаты - в переводе редакции). Обновлять её там советуют хотя бы раз в месяц, сначала проверив обновление на тестовой копии. При таком порядке исправление Ni8mare оказалось бы на сервере до раскрытия - оно вышло за семь недель до него. Как и с нейросетью на своём сервере, следить за версиями придётся своему специалисту или подрядчику.
Что решить до установки
В договор с подрядчиком или в задачу своему специалисту стоит записать:
- кто ставит новые версии хотя бы раз в месяц и за какой срок после бюллетеня безопасности ставит срочное исправление;
- нужен ли серверу доступ из интернета - исследователи Cyera советуют не открывать его без крайней необходимости, а формы закрывать паролем;
- у кого есть вход в конструктор и какие ключи в нём хранятся - права ключей, как и права ИИ-агента, стоит ограничить тем, что нужно сценарию.
Лицензия бесплатной версии, Sustainable Use License, разрешает пользоваться программой внутри компании. По разъяснениям n8n, подрядчик может брать деньги за установку и обслуживание на вашем сервере или вести ваши сценарии на своём, если вы получаете только результат. А дать вам вход в свой n8n, чтобы вы сами собирали сценарии, лицензия подрядчику не разрешает. Если схема другая, сверьте её с юристом.
Если автоматизация нужна для документов, отчётов или обращений, Kvema делает её под задачу, а суммы за внедрение, внешние сервисы и дальнейшую помощь показывает отдельно ещё до начала работ - обсудить задачу можно и без готового технического задания.
А прежде чем собирать сценарий, стоит разобрать сам процесс - четыре вопроса к нему до автоматизации.
Источники
- Бюллетень n8n о Ni8mare и отчёт Cyera, 07.01.2026
- BleepingComputer о подсчёте Shadowserver, 12.01.2026
- Документация о выборе облака или своей установки, обновлении облака и своей установки, 28.10.2026; разъяснения к лицензии, 22.09.2026
- Блог n8n о клиентах из России и Белоруссии, 10.03.2022
