Alerta de CISA: Vulnerabilidade crítica em n8n CVE-2025-68613 permite execução remota de código e expõe milhares de instâncias

A agência de cibersegurança americana, CISA, incluiu recentemente uma vulnerabilidade crítica que afeta a plataforma de automação de fluxos de trabalho n8n em seu catálogo Known Exploited Vulnerabilities (KEV). Trata-se da falha atribuída como CVE-2025-68613, com uma pontuação CVSS de 9,9, que em termos simples permite a execução remota de código através de uma injeção nas expressões do motor que avalia os workflows.

n8n é uma ferramenta cada vez mais comum para conectar e automatizar processos entre aplicações: orquestra disparadores, transforma dados e dispara ações sem que você tenha que escrever toda a lógica manualmente. Essa flexibilidade apoia-se num sistema que avalia expressões dinâmicas dentro dos fluxos, e é precisamente nesse ponto onde se encontrou a carta mais perigosa: uma avaliação incorrecta do código dinâmico que pode ser manipulada por um atacante autenticado para executar comandos com os mesmos privilégios do processo de n8n.

Os responsáveis pelo n8n publicaram adesivos em dezembro de 2025 para atenuar a falha (as versões que incluem a correção são, entre outras, 1.120.4, 1.121.1 e 1.122.0). Você pode verificar as notas oficiais e versões no repositório de lançamentos de n8n em GitHub, e o registro do CVE em CVE.org. Apesar da disponibilidade de adesivos, a CISA acrescentou esta falha ao seu catálogo KEV porque há indícios de exploração ativa, tornando-o uma prioridade de segurança para organizações de todo o tipo.

Que um atacante autenticado possa conseguir execução remota não é um detalhe menor: no pior cenário, isto permite controlar total de uma instância, roubar ou alterar dados, modificar máquinas para introduzir comportamentos maliciosos, ou executar operações a nível do sistema. Embora por agora não tenham sido publicados detalhes técnicos sobre como estão sendo explorados na prática, a inclusão em KEV geralmente envolve evidências de uso real em ataques.

O âmbito do problema é relevante: dados públicos da Shadowserver Foundation mostram que há dezenas de milhares de instâncias de n8n acessíveis da Internet sem adesivos — mais de 24.700 no início de fevereiro de 2026 — com uma grande concentração na América do Norte e na Europa. Essa exposição pública facilita que atores maliciosos escaneem, identifiquem e tratem de explorar sistemas vulneráveis.

A situação também gerou achados adicionais: a assinatura Pillar Security divulgou duas falhas críticas no sistema de avaliação de expressões de n8n; um deles, registrado como CVE-2026-27577, foi classificado como um exploit adicional relacionado à mesma família de problemas. Para as agências federais dos Estados Unidos, isso tem uma matiz operacional: as instâncias de n8n no Federal Civilian Executive Branch (FCEB) devem ser sistematicamente corrigidas antes do 25 de Março de 2026, por força da Binding Operational Directive BOD 22-01 sobre gestão de vulnerabilidades.

Se você administra n8n ou depende de instâncias gerenciadas, a recomendação é clara: adiar qualquer complacência e aplica as atualizações publicadas quanto antes. Além do adesivo, você precisa tomar medidas adicionais enquanto você realiza a atualização: restringir o acesso à interface web a intervalos IP confiáveis ou através de VPN, revisar e endurecer controles de autenticação, rotar credenciais e tokens que pudesse usar a plataforma, e monitorar atividade incomum em logs e na rede. A detecção precoce de processos inesperados, conexões salientes atípicas ou mudanças em workflows pode ser a pista que indique uma intrusão.

Nem todas as organizações têm o mesmo risco, mas a combinação de uma falha com pontuação quase máxima, evidência de exploração e dezenas de milhares de instâncias expostas cria um cenário onde agir rapidamente marca a diferença entre um adesivo e uma resposta a incidentes. Se você quiser seguir de perto os alertas oficiais, verifique a publicação de CISA e o catálogo KEV; para aplicar correções, consulte o histórico de versões de n8n no seu repositório. Manter os seus sistemas atualizados e reduzir a superfície de exposição ainda são as melhores defesas contra este tipo de vulnerabilidade.