---

📖 目次

• 概要
• 技術詳細
• 重大度 & CVSS
• 影響を受けるバージョン
• 影響
• 悪用
• 検出
• 修復
• 緩和策
• まとめ

---

🔎 概要

CVE-2026-21858は、通称**「Ni8mare」**として知られる、n8n — API呼び出し、統合、SaaSコネクタの自動化などの自動化ワークフローを構築するための人気プラットフォーム — で発見された重大な脆弱性です。

この脆弱性により、未認証のリモート攻撃者が、検証が不適切なwebhook/フォームエンドポイントとやり取りし、ファイルや内部サーバーリソースへの不正アクセスを取得できるようになります。

悪用に成功すると、**完全なリモートコード実行（RCE）**とインスタンス全体の乗っ取りにつながる可能性があります。

---

🧠 技術詳細

• 根本原因: webhook/フォーム処理ロジックにおける不適切な入力検証とContent-Typeの混乱。
• 攻撃者は、巧妙に細工したHTTPリクエストを送信し、システムを欺いてファイル内容を公開させたり、安全でないワークフローをトリガーさせたりすることができます。
• この欠陥により、攻撃者は以下を実行できます：
  • ホスト上の任意のファイルを読み取る
  • 機密の認証情報やトークンを公開する
  • 管理者セッショントークンを偽造する
  • ワークフローノード（例: Execute Command）を悪用して任意のOSコマンドを実行する
  • サーバーインスタンスを完全に侵害する

---

📊 重大度 & CVSS

これは、リモートコード実行の欠陥に対する可能な限り最大の重大度を表します。

---

📦 影響を受けるバージョン

この脆弱性は、オープンソースのn8nプラットフォームに影響を与えます：

= 1.65.0 and < 1.121.0

id="vsurvey1"

1.121.0より前のバージョンを実行しているすべてのセルフホスト型インスタンスが脆弱です。

---

🔥 影響

この脆弱性を悪用する攻撃者は、以下を実行できます：

• 🔓 システム上の任意のファイルを読み取る
• 🔑 データベースの認証情報、APIキー、トークンを公開する
• 🔐 認証セッションを偽造する
• 🛠 任意のシステムコマンドを実行する
• 💥 ホストマシンを完全に侵害する
• ↔ 接続されたシステムや統合に横展開する

パブリックインターネットに公開されているインスタンスは特にリスクが高くなります。

---

🧨 悪用

この脆弱性の特徴：

• リモート: webhook/フォームエンドポイントへのアクセス以外にネットワーク制限は不要
• 未認証: ログインや認証情報は不要
• 低複雑性: 攻撃者が悪用リクエストを簡単に作成可能

インターネットスキャンの証拠によると、数万台もの潜在的に露出したインスタンスがオンラインで到達可能な状態にあります。

---

🔍 検出

以下に注意してください：

• 異常なContent-Typeヘッダーを含む予期しないHTTPリクエスト
• 信頼できないソースからのwebhook/フォームエンドポイントへのアクセスパターン
• 不審なファイルアクセスやノード実行ログ
• 異常なワークフロー実行を示すWebサーバーログ

---

🛠 修復

✅ 直ちにパッチを適用

n8nをバージョン1.121.0以降に更新してください — このリリースにはCVE-2026-21858の修正が含まれています。

1. 現在のn8nインスタンスを停止する
2. 1.121.0+ にアップグレードする
3. サービスを再起動する
4. パッチ未適用の露出したノードが残っていないことを確認する

🧱 一時的な緩和策（パッチ適用が遅れる場合）

更新中は露出を減らしてください：

• webhookおよびフォームエンドポイントへの外部アクセスを制限する
• すべての受信リクエストに認証を要求する
• ファイアウォールルールを使用してインバウンドトラフィックを制限する
• パッチ適用まで公開webhookを無効にする

---

🔐 セキュリティチェックリスト

• n8nを**≥ 1.121.0**で実行する
• ネットワークアクセスを信頼できるIPに制限する
• 保存されているすべての秘密情報（APIキー/トークン/認証情報）をローテーションする
• ワークフロー定義に安全でないコンテンツがないか確認する
• アクセスログを監査して悪用の試みを確認する

---

📌 まとめ

---

⚠️ 最終勧告

n8nを実行している場合、どこであれ — 特にセルフホスト型でインターネットに公開されたインスタンス — パッチをバージョン1.121.0以上に直ちに適用してください。システム全体が侵害されるリスクは高く、この問題の詳細が公開されているため、自動化されたエクスプロイトが可能です。