JieGou has evolved.
Since this post was published, JieGou has pivoted from an AI automation platform to an AI-powered operations company delivering managed marketing and operations services. Learn about our managed services →
時間緊迫
明天，2026 年 3 月 25 日，是 CISA 要求所有聯邦文職行政部門（FCEB）機構修補或緩解 n8n 已被積極利用漏洞的最後期限。n8n 是廣受歡迎的開源工作流程自動化平台。無論您的組織是政府機構、受監管行業還是企業，這個期限都與您息息相關。
以下是事件經過、風險所在，以及您的選擇。
漏洞時間線
2026 年 2 月，安全研究人員揭露了 n8n 的一系列關鍵漏洞，情況迅速從令人擔憂升級為災難性：
- 2 月初：n8n 以 25 億美元估值融資 1.8 億美元，鞏固其作為領先開源自動化平台的地位。
- 2 月中旬：CVE-2025-68613 被加入 CISA 已知被利用漏洞（KEV）目錄 — 確認在野外被積極利用。
- 2 月下旬：研究人員發布「Ni8mare」（CVE-2026-21858），一個 CVSS 10.0 的未經身份驗證遠端程式碼執行漏洞，利用 webhook Content-Type 混淆。無需登入。
- 3 月初：又出現兩個 RCE 向量（CVE-2026-27577、CVE-2026-27493），使關鍵 CVE 總數達到 6+ 個，共 4 條獨立 RCE 路徑。
- 3 月 4 日：CISA、新加坡 CSA 和加拿大 CCCS 均發布正式公告。
- 3 月 11 日：CISA 將 FCEB 修復期限設定為 3 月 25 日。
這不是理論風險。CISA 僅在確認存在積極利用時才將漏洞加入 KEV 目錄。
四條獨立的 RCE 向量
這種情況的嚴重性非同尋常。大多數漏洞揭露只涉及單一問題。n8n 有四條獨立的遠端程式碼執行路徑：
| CVE | CVSS | 類型 | 說明 |
|---|---|---|---|
| CVE-2025-68613 | — | RCE | 已被積極利用；加入 CISA KEV |
| CVE-2026-21858 (Ni8mare) | 10.0 | 未經身份驗證 RCE | Webhook Content-Type 混淆 — 無需憑證 |
| CVE-2026-27577 | 9.4 | 身份驗證後 RCE | 經過身份驗證的遠端程式碼執行 |
| CVE-2026-27493 | — | 零點擊 RCE | 完全伺服器接管，無需使用者互動 |
每一個都足以獨立危害 n8n 實例。合在一起，它們代表了安全邊界的完全崩潰。
為什麼只修補是不夠的
如果您正在執行 n8n v1.x，僅套用修補程式不是可行的修復路徑。原因如下：
n8n v1.x 已到達生命週期終點。 n8n 團隊已宣布 v1.x 將不再接收安全更新。組織必須遷移至 v2.0 — 這是主要版本升級，而非簡單的修補。這意味著架構變更、API 重大修改和工作流程相容性測試。
憑證洩露是全面性的。 其中幾個漏洞允許攻擊者提取 n8n 的加密金鑰，這意味著每個儲存的憑證 — API 金鑰、OAuth 權杖、資料庫密碼 — 都必須假定已被洩露。修補軟體無法取消已被竊取的憑證。您需要輪換 n8n 中儲存的每個密鑰。
攻擊面是結構性的。 Censys 已識別出 24,700 個暴露在網際網路上的 n8n 實例。其中許多是沒有 WAF、網路分段或入侵偵測的自託管部署。自託管自動化伺服器搭配儲存的憑證和程式碼執行能力的架構模式，使 n8n 成為高價值目標 — 這不會因版本升級而改變。
您應該怎麼做
根據您的情況，有三條切實可行的路徑：
1. 升級至 n8n v2.0
如果您堅持使用 n8n，請立即升級至 v2.0。這不是可選項 — v1.x 已 EOL，不會再接收修補程式。升級後：
- 輪換 n8n 中儲存的每個憑證（API 金鑰、OAuth 權杖、資料庫密碼）。
- 審核 webhook 端點是否有未授權存取。
- 檢查執行日誌以尋找入侵跡象。
- 將 n8n 置於 WAF 之後並限制網路存取。
如果您的團隊有能力進行主要版本遷移，且具備強大的基礎設施安全實踐，這是正確的路徑。
2. 遷移至託管平台
n8n 漏洞集群突顯了自託管自動化平台的結構性風險：您繼承了每個依賴項、每個暴露端點和每個儲存憑證的全部安全負擔。託管 SaaS 平台將這一負擔轉移給供應商。
JieGou 就是為此而建的。我們提供：
- 零 CVE、零 npm audit 漏洞。 我們的依賴鏈是乾淨的，並持續監控。
- SOC 2 Type II 審計進行中，3 月 20 日與 Advantage Partners 啟動。滲透測試已完成。
- 無需修補的自託管基礎設施。 作為託管平台，安全更新由我們透明地應用。
- n8n 遷移工具，提供 45+ 節點類型映射，將 n8n 工作流程轉換為 JieGou 配方和工作流程。
- 10 層治理堆疊，涵蓋審批閘道、審計日誌、RBAC、資料分類和合規控制。
對於需要本地部署的組織，我們還提供自託管入門套件（Docker Compose + Ollama + Redis），讓基礎設施在您的控制下，同時遵循強化的參考架構。
3. 評估替代方案
如果您正在重新考慮自動化技術堆疊，現在是合理的時機。目前最重要的標準：
- 託管 vs. 自託管：誰負責修補？
- 憑證隔離：密鑰如何儲存和加密？
- 審計軌跡：您能證明發生了什麼以及何時發生的嗎？
- 合規準備：SOC 2、GDPR、行業特定要求。
公平看待 n8n
n8n 建構了一個真正實用的產品。視覺化工作流程建構器、節點生態系統和開源社群都是真正的優勢。n8n 團隊一直在修復問題，並對 v2.0 的升級路徑保持透明。
但漏洞的透明度不會降低執行未修補軟體的風險。CISA KEV 列表意味著這不是假設性的 — 這些漏洞正在被利用，針對真實目標。
結論
3 月 25 日就是明天。如果您正在執行 n8n：
- 檢查您的版本。 如果您使用 v1.x，您正在使用具有已知、被積極利用的 RCE 漏洞的不受支援軟體。
- 立即輪換憑證，無論您選擇修補還是遷移。
- 做出決定：升級至 v2.0、遷移至託管平台，或以書面形式接受風險。
如果您想探索遷移選項，聯繫我們的團隊 或查看 n8n 遷移指南，了解您的工作流程如何映射到 JieGou。
JieGou 是一個部門優先的 AI 工作流程自動化平台，擁有 12 個訊息頻道、10 層治理和企業合規。在 jiegou.ai 了解更多。