ฝันร้าย n8n! พบ 2 ช่องโหว่ใหม่ระดับ 10 เต็ม — เสี่ยงโดนแฮกเต็มระบบ โดนทั้ง self-hosted และ Cloud
แพลตฟอร์ม workflow automation ยอดนิยมอย่าง n8n กำลังเผชิญวิกฤตด้านความปลอดภัยครั้งสำคัญ หลังมีการเปิดเผยช่องโหว่ร้ายแรงระดับสูงสุดต่อเนื่องกันถึงสองรายการในช่วงเวลาใกล้เคียงกัน โดยทั้งคู่ได้รับคะแนนความรุนแรง CVSS 10.0 เต็ม ซึ่งถือเป็นระดับอันตรายที่สุด และสามารถนำไปสู่การควบคุมระบบ n8n ได้อย่างสมบูรณ์
สิ่งที่น่ากังวลคือ ช่องโหว่ทั้งสองรายการมีลักษณะแตกต่างกัน แต่กลับเสริมความรุนแรงซึ่งกันและกัน ทั้งแบบที่ต้องมีการยืนยันตัวตนก่อน และแบบที่ผู้โจมตีจากภายนอกสามารถโจมตีได้โดยไม่ต้องล็อกอิน ส่งผลให้ n8n กลายเป็นหนึ่งในแพลตฟอร์ม automation ที่ถูกจับตามองมากที่สุดในต้นปี 2026
ทีมพัฒนา n8n ยืนยันว่าช่องโหว่นี้กระทบทั้งการติดตั้งแบบ self-hosted และ n8n Cloud เวอร์ชันที่ได้รับผลกระทบคือเวอร์ชันตั้งแต่ 0.123.0 จนก่อนเวอร์ชัน 1.121.3 โดยเวอร์ชัน 1.121.3 และรุ่นที่ใหม่กว่ามีการแก้ไขปัญหานี้แล้ว
CVE-2026-21877 ช่องโหว่ RCE แบบยืนยันตัวตน แต่ยกระดับสิทธิ์ได้เต็มระบบ
ช่องโหว่แรกคือ CVE-2026-21877 ซึ่งถูกจัดอยู่ในประเภท Authenticated Remote Code Execution (RCE) แม้ผู้โจมตีจะต้องมีบัญชีผู้ใช้ในระบบก่อน แต่เมื่อโจมตีสำเร็จแล้ว จะสามารถบังคับให้ n8n รันโค้ดอันตรายได้จนถึงระดับที่ควบคุมอินสแตนซ์ทั้งหมด
ผลกระทบของช่องโหว่นี้ไม่ได้จำกัดอยู่แค่ตัวแพลตฟอร์ม n8n เท่านั้น แต่ยังเปิดโอกาสให้ผู้โจมตีแก้ไขเวิร์กโฟลว์ เปลี่ยนพฤติกรรมของ automation หรือใช้ n8n เป็นจุดตั้งต้นเพื่อโจมตีระบบอื่นที่เชื่อมต่ออยู่ ไม่ว่าจะเป็นฐานข้อมูล ระบบ DevOps หรือบริการภายในองค์กรที่ถูกผูกเข้ากับ workflow เหล่านี้
CVE-2026-21858 “Ni8mare” ช่องโหว่ไม่ต้องล็อกอิน ยึดระบบได้จากภายนอก
สถานการณ์ทวีความรุนแรงขึ้นไปอีกจากการค้นพบช่องโหว่ตัวที่สองคือ CVE-2026-21858 ซึ่งถูกตั้งชื่อว่า Ni8mare และถือเป็นช่องโหว่คนละจุดกับรายการแรกโดยสิ้นเชิง จุดอันตรายที่สุดของช่องโหว่นี้คือ ไม่ต้องอาศัยการยืนยันตัวตนใดๆ เลย
ช่องโหว่ Ni8mare เกิดจากการจัดการ HTTP request และ webhook ที่ไม่รัดกุม ผู้โจมตีจากอินเทอร์เน็ตสามารถส่ง request ที่ออกแบบมาเป็นพิเศษเพื่ออ่านไฟล์ภายในระบบ n8n ขโมยข้อมูลสำคัญ เช่น คีย์ลับหรือไฟล์ฐานข้อมูล จากนั้นสามารถปลอม session เพื่อข้ามระบบยืนยันตัวตน และต่อยอดไปสู่การรันโค้ดอันตรายได้ในที่สุด หากอินสแตนซ์ n8n ถูกเปิดให้เข้าถึงจากภายนอกโดยตรง ก็อาจถูกยึดระบบได้โดยไม่ต้องมีบัญชีผู้ใช้แม้แต่รายเดียว
ทีมพัฒนา n8n ยืนยันว่าได้ออกแพตช์เพื่อแก้ไขช่องโหว่ทั้ง CVE-2026-21877 และ CVE-2026-21858 แล้ว และแนะนำให้ผู้ใช้งานอัปเดตเป็นเวอร์ชันล่าสุดทันที เนื่องจากไม่มีแนวทางบรรเทาความเสี่ยงชั่วคราวที่สามารถป้องกันการโจมตีได้อย่างสมบูรณ์