# Уязвимость на 10 из 10 в n8n: свой сервер обновляет сам владелец

Исправление уязвимости Ni8mare вышло 18 ноября 2025 года, о ней объявили 7 января, а через четыре дня без него оставались почти 60 000 открытых серверов n8n.

URL: https://kvema.ru/blog/guides/uyazvimost-na-10-iz-10
Опубликовано: 2026-11-08
Обновлено: 2026-11-08
Автор: Редакция Kvema, автоматическая редакция журнала Kvema
Рубрики: Автоматизация
Издание: Kvema (https://kvema.ru)

n8n - конструктор сценариев автоматизации. Из готовых блоков в нём собирают цепочки вроде «заявка с сайта - сделка в CRM - сообщение менеджеру», в том числе с шагами на нейросети. Работать с ним можно в платном облаке производителя, но компаниям из России оно недоступно. Им остаётся бесплатная установка на своём сервере, и обновлять программу тогда придётся самим.

Чем это оборачивается, показала уязвимость Ni8mare с оценкой опасности 10 из 10, раскрытая в январе 2026 года. Через неё посторонний без пароля при определённой настройке мог получить полный контроль над n8n, а на своих серверах закрыть её могли только сами владельцы, поставив новую версию. Поэтому до запуска стоит решить, кто ставит обновления и у кого доступ к серверу. Отдельно проверьте, что разрешает лицензия.

## Исправление вышло раньше новости об уязвимости

Исследователи Cyera сообщили разработчикам об уязвимости в начале ноября 2025 года. Исправленная версия 1.121.0 вышла 18 ноября, а описание опубликовали только 7 января. Уязвимость была опасна, если в конструкторе работал сценарий с общедоступной формой, которая принимает файл и отдаёт файл в ответ.

Вред мог выйти за пределы самого n8n, потому что в нём часто хранятся ключи к системам, которые он связывает, - облачным дискам, базам данных, CRM. Через четыре дня после раскрытия фонд Shadowserver насчитал в интернете почти 60 000 открытых серверов с n8n без исправления. Сейчас уязвимость закрыта, и серверам на версии 1.121.0 и новее она не грозит. Но это планка только для Ni8mare: в следующих версиях n8n закрыл [ещё несколько критических уязвимостей](https://www.rapid7.com/blog/post/etr-ni8mare-n8scape-flaws-multiple-critical-vulnerabilities-affecting-n8n/), так что ориентир - последняя версия.

![Хронология Ni8mare: исправление 18.11.2025, раскрытие 07.01.2026, через 4 дня почти 60 000 серверов без исправления](https://kvema.ru/blog/api/inline/cmw8c0wp40r8yl42koo3ukcgr-1794172788804-2cfv5.webp)

*Исправленная версия вышла раньше, чем об уязвимости объявили*

## Кто обновляет облако, а кто - свой сервер

В облаке производитель сам обновляет программу у всех клиентов не реже раза в две недели, «чтобы исправления безопасности дошли до всех». Но с 7 марта 2022 года n8n перестал принимать облачных клиентов из России и Белоруссии и брать оттуда оплату, а доступ к исходному коду для своей установки сохранил.

Обслуживание своей установки документация называет «вашей ответственностью» (цитаты - в переводе редакции). Обновлять её там советуют хотя бы раз в месяц, сначала проверив обновление на тестовой копии. При таком порядке исправление Ni8mare оказалось бы на сервере до раскрытия - оно вышло за семь недель до него. Как и [с нейросетью на своём сервере](https://kvema.ru/blog/guides/deepseek-hranit-chaty-v-kitae), следить за версиями придётся своему специалисту или подрядчику.

![Сравнение: облако n8n обновляет производитель, свой сервер обновляет владелец](https://kvema.ru/blog/api/inline/cmw8c0wp40r8yl42koo3ukcgr-1794172856808-3fjjl.webp)

*В облаке обновления ставит производитель, на своём сервере - владелец, и документация советует делать это хотя бы раз в месяц*

## Что решить до установки

В договор с подрядчиком или в задачу своему специалисту стоит записать:

- кто ставит новые версии хотя бы раз в месяц и за какой срок после бюллетеня безопасности ставит срочное исправление;
- нужен ли серверу доступ из интернета - исследователи Cyera советуют не открывать его без крайней необходимости, а формы закрывать паролем;
- у кого есть вход в конструктор и какие ключи в нём хранятся - права ключей, как и [права ИИ-агента](https://kvema.ru/blog/guides/ii-agentu-zapretili-menyat-kod-on), стоит ограничить тем, что нужно сценарию.

![Двое за столом в офисе: женщина отмечает ручкой строку в распечатанных листах, коллега показывает на страницу](https://kvema.ru/blog/api/inline/cmw8c0wp40r8yl42koo3ukcgr-1794172919720-iib72.jpg)

*Кто ставит обновления и у кого доступ, стоит записать в договор или задачу до установки*

Лицензия бесплатной версии, Sustainable Use License, разрешает пользоваться программой внутри компании. По разъяснениям n8n, подрядчик может брать деньги за установку и обслуживание на вашем сервере или вести ваши сценарии на своём, если вы получаете только результат. А дать вам вход в свой n8n, чтобы вы сами собирали сценарии, лицензия подрядчику не разрешает. Если схема другая, сверьте её с юристом.

Если автоматизация нужна для документов, отчётов или обращений, Kvema делает её под задачу, а суммы за внедрение, внешние сервисы и дальнейшую помощь показывает отдельно ещё до начала работ - [обсудить задачу](https://kvema.ru/kontakty/) можно и без готового технического задания.

А прежде чем собирать сценарий, стоит разобрать сам процесс - [четыре вопроса к нему до автоматизации](https://kvema.ru/blog/guides/berezhlivoe-proizvodstvo-sdelalo-hudshii-zavod-gm).

## Источники

- [Бюллетень n8n о Ni8mare](https://github.com/n8n-io/n8n/security/advisories/GHSA-v4pr-fm98-w9pg) и [отчёт Cyera](https://www.cyera.com/research/ni8mare-unauthenticated-remote-code-execution-in-n8n-cve-2026-21858), 07.01.2026
- [BleepingComputer о подсчёте Shadowserver](https://www.bleepingcomputer.com/news/security/max-severity-ni8mare-flaw-impacts-nearly-60-000-n8n-instances/), 12.01.2026
- Документация о [выборе облака или своей установки](https://docs.n8n.io/choose-how-to-use-n8n), [обновлении облака](https://docs.n8n.io/deploy/use-n8n-cloud/update-your-version) и [своей установки](https://docs.n8n.io/deploy/host-n8n/keep-n8n-running/update-n8n), 28.10.2026; [разъяснения к лицензии](https://docs.n8n.io/n8n-community-license/community-license/license-faq), 22.09.2026
- [Блог n8n о клиентах из России и Белоруссии](https://blog.n8n.io/update-on-n8n-cloud-accounts-in-russia-and-belarus/), 10.03.2022