CVE-2025-68613: Krytyczna Podatność RCE w n8n i Jak Chronić Swoją Firmę

• Krytyczna podatność RCE w n8n umożliwia atakującym zdalne wykonanie kodu.
• Luka dotyczy wersji od 0.211.0 do 1.120.3 platformy n8n.
• Niezwłoczna aktualizacja oprogramowania jest kluczowa dla zabezpieczenia firmowych danych.

CVE-2025-68613: Krytyczna Podatność RCE w n8n i Jak Chronić Swoją Firmę

W dynamicznym świecie cyfrowym, gdzie automatyzacja procesów biznesowych staje się kluczem do efektywności, narzędzia takie jak n8n odgrywają fundamentalną rolę. Umożliwiają one integrację setek aplikacji i usług, tworząc złożone przepływy pracy, które napędzają operacje w firmach na całym świecie. Jednak z wielką mocą wiąże się wielka odpowiedzialność – a w tym przypadku również ogromne ryzyko. Niedawno świat cyberbezpieczeństwa obiegła informacja o CVE-2025-68613, krytycznej podatności umożliwiającej zdalne wykonanie kodu (RCE) w popularnej platformie automatyzacji workflow n8n. Z oceną 9.9 w skali CVSS, luka ta stanowi jedno z najpoważniejszych zagrożeń dla organizacji korzystających z tego rozwiązania w ostatnich miesiącach.

W tym artykule dogłębnie przeanalizujemy naturę tej podatności, jej potencjalny wpływ na działalność biznesową oraz, co najważniejsze, przedstawimy konkretne kroki, które należy podjąć, aby skutecznie zabezpieczyć infrastrukturę swojej firmy. Zrozumienie tego zagrożenia jest kluczowe dla CISO, menedżerów IT i liderów biznesowych, ponieważ dotyka ono samego serca zautomatyzowanych procesów, które często przetwarzają najbardziej wrażliwe dane. Źródło

Czym Jest n8n i Dlaczego Ta Podatność Jest Tak Poważna?

Aby w pełni zrozumieć wagę CVE-2025-68613, musimy najpierw pojąć, czym jest n8n. Jak informuje belgijskie Centrum Cyberbezpieczeństwa (CCB), n8n to platforma open-source do automatyzacji przepływów pracy. Działa na zasadzie “no-code/low-code”, co oznacza, że pozwala użytkownikom, nawet tym bez zaawansowanej wiedzy programistycznej, na tworzenie skomplikowanych automatyzacji poprzez wizualny interfejs. Użytkownicy mogą łączyć ze sobą różne aplikacje, interfejsy API i systemy, tworząc tzw. “workflow”, które automatycznie wykonują określone zadania – od synchronizacji danych między CRM a platformą e-mail marketingową, po zarządzanie infrastrukturą w chmurze.

Popularność n8n jest niezaprzeczalna. Według danych przytoczonych przez The Hacker News, platforma notuje około 57 000 pobrań tygodniowo z repozytorium npm. Ta powszechność sprawia, że każda krytyczna podatność w jej kodzie staje się globalnym zagrożeniem.

Źródłem problemu, jak wskazują analizy opublikowane przez The Hacker News oraz Indusface, jest mechanizm przetwarzania wyrażeń w n8n. Platforma pozwala na używanie specjalnych wyrażeń (expressions) do dynamicznego manipulowania danymi wewnątrz przepływów pracy. Niestety, w podatnych wersjach oprogramowania, silnik odpowiedzialny za ewaluację tych wyrażeń nie posiadał odpowiedniej izolacji od bazowego środowiska uruchomieniowego JavaScript.

CVE-2025-68613 – Dogłębna Analiza Techniczna

Podatność, zidentyfikowana jako CVE-2025-68613, została odkryta przez badacza bezpieczeństwa Fatiha Çelika i ujawniona pod koniec grudnia 2025 roku. Jak donoszą The Hacker News i CCB, dotyczy ona szerokiego zakresu wersji n8n, od 0.211.0 aż do 1.120.3. Problem leży w sposobie, w jaki n8n przetwarza dane wejściowe w wyrażeniach workflow.

Technicznie rzecz biorąc, luka jest klasyfikowana jako wstrzykiwanie wyrażeń (Expression Injection), prowadzące do ucieczki z sandboksa (sandbox escape). Jak wyjaśnia Orca Security, atakujący, który posiada uprawnienia do tworzenia lub edycji przepływu pracy, może stworzyć specjalnie spreparowane wyrażenie.

Warto również zaznaczyć, że chociaż istnieje inna, odrębna podatność o numerze CVE-2025-62726, dotycząca komponentu Git Node w wersjach n8n wcześniejszych niż 1.113.0, nie jest ona tożsama z opisywanym tu krytycznym błędem RCE. Jak wskazuje baza danych Wiz, problem ten związany jest z hakami pre-commit w niezaufanych repozytoriach i stanowi odrębne zagrożenie.

Wektor Ataku i Potencjalny Wpływ na Biznes

Zrozumienie technicznych aspektów jest ważne, ale dla liderów biznesowych i menedżerów IT kluczowe jest przełożenie ich na realne ryzyko. Jak opisują to eksperci z Indusface i Orca Security, ścieżka ataku jest niepokojąco prosta dla kogoś, kto ma już dostęp do systemu, nawet z niskimi uprawnieniami.

1. Uzyskanie dostępu: Atakujący musi posiadać uwierzytelniony dostęp do instancji n8n z uprawnieniami do tworzenia lub edycji workflow. Taki dostęp może zostać uzyskany poprzez skompromitowanie konta pracownika, dewelopera, a nawet zewnętrznego partnera.
2. Wstrzyknięcie złośliwego kodu: Atakujący tworzy nowy lub modyfikuje istniejący przepływ pracy, umieszczając w jednym z węzłów specjalnie spreparowane wyrażenie. Wykorzystuje do tego potężny język wyrażeń n8n.
3. Uruchomienie ewaluacji: W momencie, gdy workflow jest zapisywany, walidowany lub wykonywany, silnik n8n przetwarza złośliwe wyrażenie.
4. Ucieczka z sandboksa i wykonanie kodu: Wyrażenie omija mechanizmy izolacyjne i wykonuje dowolny kod w kontekście procesu serwera n8n.
5. Działania poeksploatacyjne: Od tego momentu atakujący ma pełną kontrolę nad instancją n8n i serwerem, na którym jest ona uruchomiona.

Potencjalny wpływ biznesowy takiego ataku jest katastrofalny. Jak podkreślają The Hacker News i Orca Security, konsekwencje mogą obejmować:

• Pełne przejęcie instancji n8n: Atakujący może modyfikować lub usuwać istniejące przepływy pracy, paraliżując kluczowe procesy biznesowe.
• Kradzież i eksfiltracja wrażliwych danych: Przepływy pracy w n8n często przetwarzają niezwykle wrażliwe informacje.
• Ustanowienie trwałości (persistence): Napastnik może zainstalować tylne furtki (backdoory).
• Ruch boczny (lateral movement): Przejęty serwer n8n staje się idealnym punktem wypadowym do atakowania innych systemów.

Zagrożenie jest szczególnie wysokie w przypadku instancji self-hosted oraz w środowiskach multi-tenant.

Skala Zagrożenia: Kto Jest Narażony?

Skala problemu jest globalna. Według danych zebranych 22 grudnia 2025 roku, cytowanych przez The Hacker News i eSecurityPlanet, zidentyfikowano około 103 476 instancji n8n wystawionych publicznie do internetu. Każda z tych instancji, jeśli nie została zaktualizowana, jest potencjalnym celem ataku.

Podatne wersje, jak potwierdzają liczne źródła, w tym CCB i The Hacker News, to wszystkie wydania w zakresie od 0.211.0 do wersji niższych niż 1.120.4. Biorąc pod uwagę cykl wydawniczy oprogramowania, oznacza to, że wiele organizacji, które nie mają wdrożonych rygorystycznych procesów zarządzania aktualizacjami, może nadal korzystać z podatnych wersji.

Chociaż w momencie ujawnienia luki nie było potwierdzonych przypadków jej aktywnego wykorzystania “in-the-wild”, Orca Security słusznie zauważa, że wysoka ocena CVSS, niska złożoność ataku i dostępność publicznych exploitów znacząco zwiększają ryzyko.

Rekomendacje i Kroki Naprawcze: Jak Skutecznie Się Zabezpieczyć?

W obliczu tak poważnego zagrożenia, reakcja musi być szybka i zdecydowana. Organizacje korzystające z n8n muszą podjąć natychmiastowe działania w celu mitygacji ryzyka.

Działania natychmiastowe:

1. Bezwzględna aktualizacja: Najważniejszym i najskuteczniejszym krokiem jest natychmiastowa aktualizacja instancji n8n do wersji, w której luka została załatana. Bezpieczne wersje to 1.120.4, 1.121.1, 1.122.0 i wszystkie nowsze.
2. Testowanie przed wdrożeniem: Przeprowadź dokładne testy na środowisku deweloperskim lub testowym, zanim wdrożysz aktualizację w produkcji.

Działania tymczasowe (jeśli natychmiastowa aktualizacja jest niemożliwa):

• Ograniczenie uprawnień: Ogranicz możliwość tworzenia i edytowania workflow tylko do zaufanych użytkowników.
• Audyt istniejących workflow: Przeprowadź audyt w poszukiwaniu podejrzanych wyrażeń.
• Utwardzanie środowiska (hardening): Wzmocnij zabezpieczenia serwera, na którym działa n8n.
• Monitorowanie i ochrona na poziomie aplikacji: Zastosuj narzędzia typu WAAP, jak AppTrana.

Rekomendacja belgijskiego CCB jest jednoznaczna: załatanie tej podatności powinno mieć najwyższy priorytet.

Zarządzanie Podatnościami Open Source – Szersza Perspektywa

Incydent z CVE-2025-68613 jest potężnym przypomnieniem o ryzyku związanym z oprogramowaniem open-source. Choć otwarty kod źródłowy przynosi ogromne korzyści, niesie ze sobą również wyzwania w obszarze bezpieczeństwa. Organizacje często integrują dziesiątki komponentów open-source w swojej infrastrukturze.

• Regularne skanowanie podatności: Automatyczne narzędzia pozwalają na bieżąco identyfikować znane luki.
• Testy penetracyjne: Regularne testy aplikacji i infrastruktury, przeprowadzane przez ekspertów.
• Analiza składu oprogramowania (SCA): Narzędzia SCA pomagają zinwentaryzować wszystkie komponenty open-source.
• Wdrożenie solidnej polityki aktualizacji: Definiowanie i egzekwowanie procesów wdrażania poprawek bezpieczeństwa.

Jak Możemy Pomóc?

W VIPentest rozumiemy, że zarządzanie ryzykiem w dynamicznym środowisku IT jest złożonym wyzwaniem. Incydenty takie jak podatność w n8n pokazują, jak szybko pozornie bezpieczna infrastruktura może stać się celem ataku.

Oferujemy kompleksowe usługi, w tym zaawansowane testy penetracyjne aplikacji webowych i infrastruktury, audyty bezpieczeństwa oraz doradztwo w zakresie budowy solidnych programów zarządzania podatnościami.

Jeśli chcesz ocenić bezpieczeństwo swojej infrastruktury lub potrzebujesz wsparcia w reakcji na zagrożenia takie jak CVE-2025-68613, skontaktuj się z nami. Porozmawiajmy o tym, jak możemy wzmocnić Twoje cyberbezpieczeństwo.

FAQ