Celah n8n: Expression RCE dan Ni8mare pada Platform Otomasi

Celah n8n yang paling disorot adalah CVE-2025-68613, bug eksekusi kode lewat ekspresi workflow yang masuk daftar CISA KEV pada 11 Maret 2026, dan CVE-2026-21858 yang dijuluki Ni8mare dengan skor CVSS maksimum 10,0. Keduanya menyerang platform otomasi workflow yang populer untuk dihosting sendiri. Per 29 Oktober 2026, instans n8n yang belum diperbarui atau terbuka ke internet menyimpan banyak kredensial penting yang layak dilindungi.

Ringkasan Celah n8n: Expression RCE dan Ni8mare

• CVE-2025-68613 (expression RCE): n8n 0.211.0 sampai sebelum 1.120.4, ditambah tepat versi 1.121.0. Ekspresi workflow dievaluasi dalam konteks yang kurang terisolasi sehingga pengguna terautentikasi dapat menjalankan kode dengan hak proses n8n. Skor CVSS 3.1: 9,9 (Critical) dari GitHub sebagai CNA, dan 8,8 (High) dari NIST/NVD. Masuk KEV 11 Maret 2026, tenggat 25 Maret 2026. Diperbaiki di 1.120.4, 1.121.1, dan 1.122.0.
• CVE-2026-21858 (Ni8mare): n8n 1.65.0 sampai sebelum 1.121.0. Akses berkas sembarang tanpa autentikasi lewat workflow berbasis formulir, yang pada kondisi tertentu dapat berujung pada pengambilalihan. Skor CVSS 3.1: 10,0 (Critical) dari GitHub sebagai CNA. Diperbaiki di 1.121.0, yang menurut Rapid7 dirilis 18 November 2025. Per 28 Oktober 2026 celah ini tidak tercantum di katalog CISA KEV, tetapi Rapid7 melaporkan adanya proof-of-concept publik.
• Celah terkait: CVE-2026-21877 (eksekusi kode berbahaya oleh pengguna terautentikasi; 0.123.0 sampai sebelum 1.121.3; diperbaiki di 1.121.3; CVSS 9,9 dari GitHub) dan CVE-2025-68668 atau "N8scape" (pelolosan sandbox pada Python Code node; 1.0.0 sampai sebelum 2.0.0; diperbaiki di 2.0.0; CVSS 9,9).

Apa yang Terjadi pada Platform Otomasi Ini

n8n adalah platform otomasi workflow sumber terbuka yang menghubungkan aplikasi, API, dan basis data. Karena itu instans n8n biasanya memegang kredensial bernilai tinggi: token API, kunci cloud, akses database, dan akun email. Satu server yang dikuasai bisa menjadi pintu ke seluruh sistem yang dihubungkannya.

Pada 19 Desember 2025 dipublikasikan CVE-2025-68613, yaitu kelemahan isolasi pada evaluasi ekspresi. Ekspresi adalah potongan kode kecil yang dipakai pengguna untuk memanipulasi data di dalam workflow. Bila lingkungan eksekusinya tidak terisolasi dengan baik, pengguna yang berhak mengedit workflow bisa menjalankan kode di server. CISA kemudian memasukkannya ke KEV pada 11 Maret 2026, tanda eksploitasi nyata.

Pada awal Januari 2026, Cyera mengungkap Ni8mare. Menurut analisis Rapid7, celah ini terjadi ketika formulir kustom menerima unggahan berkas tanpa memvalidasi tipe konten, sehingga berkas di server dapat dibaca oleh pihak tanpa autentikasi; dalam beberapa kasus hasilnya adalah eksekusi kode. Rapid7 menyebut adanya proof-of-concept dari peneliti pihak ketiga yang dipublikasikan bersama tulisan teknis Cyera. PoC tersebut sengaja tidak ditautkan di sini. Menurut Rapid7, PoC itu juga memakai CVE-2025-68613. Rapid7 tidak menyebut adanya eksploitasi di dunia nyata untuk Ni8mare.

Siapa yang Berisiko dan Mengapa Penting

Risiko terbesar ada pada instans self-hosted yang menerima formulir atau webhook dari internet, atau yang dapat diakses banyak pengguna dengan hak mengedit workflow. Sebagai panduan umum, termasuk bagi startup, agensi, dan tim operasional di Indonesia yang memakai n8n self-hosted: instans otomasi rawan dipasang cepat oleh satu orang, dibiarkan terbuka, dan tidak masuk jadwal pembaruan. Periksa apakah pola itu terjadi di organisasi Anda.

Ada juga pelajaran lebih luas: alat otomasi dan agen AI yang "bisa melakukan apa saja" mengonsolidasikan akses, sehingga celah di dalamnya berdampak besar. Hal serupa dibahas di artikel tentang kebocoran kunci API.

Cara Memeriksa Paparan Celah n8n

1. Periksa versi n8n yang berjalan (menu pengaturan atau tag image kontainer) dan bandingkan dengan rentang terdampak di atas.
2. Daftar semua endpoint formulir dan webhook yang dapat dijangkau dari internet, serta apakah ada autentikasi di depannya.
3. Periksa siapa saja yang memiliki hak membuat dan mengedit workflow, dan hapus akses yang tidak perlu.
4. Tinjau riwayat perubahan workflow untuk perubahan yang tidak dikenali, terutama pada node yang menjalankan kode.
5. Periksa log reverse proxy untuk akses tidak biasa ke endpoint formulir, serta unggahan berkas yang tidak wajar.

Mitigasi Celah n8n: Upgrade, Isolasi, dan Rotasi Kredensial

• Upgrade ke rilis n8n 2.x terbaru. Versi 2.0.0 ke atas berada di luar rentang terdampak keempat celah di atas. Jika masih harus bertahan di cabang 1.x, versi 1.122.0 sudah menutup CVE-2025-68613, Ni8mare, dan CVE-2026-21877, tetapi N8scape baru ditutup di 2.0.0. Sebagai langkah sementara untuk N8scape, NVD mencatat opsi menonaktifkan Code node atau dukungan Python di Code node.
• Jangan membuka n8n atau endpoint formulirnya ke internet tanpa autentikasi. Tempatkan di balik VPN, reverse proxy dengan autentikasi, atau allowlist IP. Hal ini sejalan dengan prinsip keamanan API.
• Batasi hak edit workflow. Beberapa celah di atas membutuhkan pengguna terautentikasi yang dapat membuat atau mengubah workflow; hak ini sebaiknya diberikan seminimal mungkin.
• Rotasi seluruh kredensial yang tersimpan di n8n pada instans yang pernah terbuka dalam keadaan rentan: token API, kunci cloud, kata sandi database.
• Jalankan dengan hak minimum. Pakai pengguna non-root di kontainer, batasi akses jaringan keluar, dan pisahkan instans dari jaringan inti.

Karena CVE-2025-68613 ada di KEV, instans yang pernah berjalan pada versi rentan dan terjangkau dari luar sebaiknya diperlakukan sebagai kemungkinan terkompromi sampai terbukti sebaliknya. Pelajari prinsip prioritasnya di CISA KEV, dan pahami kelas celah ini di pengertian remote code execution.

Linimasa Singkat

• 18 November 2025: n8n 1.121.0 dirilis, versi yang kemudian diketahui menutup Ni8mare.
• 19 Desember 2025: CVE-2025-68613 dipublikasikan; perbaikan di 1.120.4, 1.121.1, dan 1.122.0.
• 26 Desember 2025: N8scape (CVE-2025-68668) dipublikasikan; perbaikan di 2.0.0.
• 7-8 Januari 2026: advisory dan tulisan teknis Cyera tentang Ni8mare (CVE-2026-21858) terbit.
• 9 Januari 2026: Rapid7 merilis pemeriksaan kerentanan untuk produknya.
• 11 Maret 2026: CISA memasukkan CVE-2025-68613 ke KEV, tenggat 25 Maret 2026.

Pertanyaan yang Sering Diajukan

Apakah n8n versi cloud juga terdampak?

Sebagian besar celah di atas menyasar instans self-hosted, tetapi deskripsi NVD untuk CVE-2026-21877 menyebut celah itu dapat berdampak pada instans self-hosted maupun n8n Cloud. Untuk layanan terkelola, ikuti pengumuman resmi n8n.

Mengapa skor CVE-2025-68613 berbeda, 9,9 dan 8,8?

GitHub sebagai CNA menilai cakupan dampak (scope) berubah, sedangkan NIST sebagai penilai primer menilainya tidak berubah, sehingga skor GitHub lebih tinggi. Cara membacanya ada di panduan skor CVSS.

Jika instans saya hanya dipakai internal, apakah aman?

Lebih aman, tetapi tidak sepenuhnya. Celah yang membutuhkan akun terautentikasi tetap berbahaya bila akun dicuri atau pengguna internal berniat jahat. Tambal tetap diperlukan.

Kesimpulan

Celah n8n ini menunjukkan bahwa platform otomasi adalah aset sensitif yang harus dikelola seperti server produksi: diperbarui rutin, tidak terbuka sembarangan, dan kredensialnya mudah dirotasi. Jika organisasi Anda memakai alat otomasi atau agen AI dan ingin mengujinya secara terotorisasi, hubungi tim Linuxhackingid.