n8n : des failles critiques dans l'outil d'automatisation préféré des PME
Le 7 janvier, n8n a publié une faille notée 10 sur 10, exploitable sans mot de passe. Pourquoi un outil d'automatisation est une cible de choix, et ce qu'il faut vérifier.
n8n est devenu en deux ans un des outils d'automatisation les plus utilisés par les PME et leurs prestataires : il permet de relier des logiciels entre eux (CRM, messagerie, comptabilité, formulaires, IA) sans tout développer, et il peut être installé sur son propre serveur. Le 7 janvier 2026, l'éditeur a publié un avis sur une faille notée 10 sur 10, surnommée « Ni8mare », exploitable sans aucun identifiant. Elle s'ajoute à plusieurs failles sérieuses publiées depuis mi-décembre. Si vous ou votre prestataire utilisez n8n, il y a des vérifications à faire cette semaine.
Ce qui a été publié
D'après l'avis de sécurité de n8n et l'analyse de Rapid7 :
- CVE-2026-21858, « Ni8mare », note 10 sur 10 : une faille dans le traitement des requêtes reçues par certains formulaires et « webhooks » (les adresses qui permettent à un service extérieur de déclencher un scénario). Sans identifiant, un attaquant peut lire des fichiers du serveur, et, en combinant avec une autre faille, prendre le contrôle de l'instance. Versions concernées : de 1.65.0 à 1.121.0 exclue. La version corrigée, 1.121.0, était sortie dès le 18 novembre 2025 ; l'avis public date du 7 janvier.
- CVE-2025-68613, publiée le 19 décembre : une injection dans les expressions des scénarios, qui permet à un utilisateur connecté d'exécuter des commandes sur le serveur. Elle peut être enchaînée avec Ni8mare.
- CVE-2026-21877, note 9,9 : exécution de code par un utilisateur authentifié dans certaines conditions, corrigée en 1.121.3.
- CVE-2025-68668, « N8scape », note 9,9 : un contournement de l'isolation du nœud de code Python, corrigé en version 2.0.0.
n8n n'indique pas de contournement officiel pour Ni8mare ; à titre provisoire, il recommande de restreindre ou désactiver les formulaires et webhooks accessibles publiquement jusqu'à la mise à jour.
Pourquoi un outil d'automatisation est une cible idéale
Un outil comme n8n est, par construction, branché sur tout le reste. Pour automatiser, il détient les accès : le mot de passe de la messagerie, la clé d'API du CRM, l'accès au logiciel de comptabilité, au stockage de fichiers, au compte du fournisseur d'IA. Prendre le contrôle de l'outil d'automatisation, c'est récupérer d'un coup toutes ces clés.
Et ces outils sont souvent installés vite, pour un besoin précis, par une personne motivée ou un freelance de passage, puis oubliés. Les formulaires et webhooks sont, par nature, exposés sur Internet. C'est exactement la combinaison que recherchent les attaquants : beaucoup d'accès, peu de surveillance, une porte ouverte.
Ce qu'il faut vérifier cette semaine
- Utilisez-vous n8n, et où ? Posez la question à votre prestataire et à vos équipes. Une instance installée « pour tester » il y a un an compte aussi.
- Quelle version ? Pour les instances installées sur vos serveurs, la mise à jour vers une version corrigée récente est la priorité. Les failles listées plus haut couvrent plusieurs branches : visez la dernière version stable.
- Qu'est-ce qui est exposé sur Internet ? L'interface d'administration n'a aucune raison d'être accessible publiquement. Seuls les webhooks réellement nécessaires doivent l'être.
- Qui peut créer ou modifier des scénarios ? Plusieurs failles demandent un compte utilisateur. Limitez ces comptes aux personnes qui en ont besoin, avec la double authentification.
- Faut-il changer les accès ? Si une instance vulnérable était exposée, considérez que les identifiants qu'elle détient ont pu être lus, et faites-les renouveler : messagerie, CRM, comptabilité, clés d'API.
Un détail du calendrier mérite d'être noté : la version qui corrige Ni8mare était disponible depuis le 18 novembre 2025, sept semaines avant la publication de l'avis. Les instances mises à jour régulièrement étaient donc protégées avant même que la faille ne soit connue du public. C'est le meilleur argument pour des mises à jour suivies, plutôt qu'en urgence à chaque alerte.
Faut-il arrêter d'utiliser n8n ?
Non. n8n est un bon outil, et l'éditeur a corrigé ces failles et publié des avis clairs. Le même raisonnement vaut pour tout outil d'automatisation, installé chez vous ou en ligne. La leçon est ailleurs : un outil qui détient les clés de tout le système d'information doit être traité comme un système critique. Il a besoin d'un responsable, de mises à jour, d'une exposition minimale et de droits limités. Nous le rappelions déjà en décembre à propos de l'attaque Shai-Hulud : ce sont les accès qui intéressent les attaquants.
Quand nous construisons des automatisations ou des agents IA pour nos clients, nous appliquons ces règles dès le départ : comptes dédiés avec des droits limités, interfaces d'administration non exposées, secrets stockés à part, mises à jour suivies dans le cadre de la maintenance, et validation humaine pour toute action importante. Si vous avez des automatisations en place et que vous ne savez plus très bien qui les surveille, faisons le point lors d'un rendez-vous de 30 minutes.