Ni8mare: 8.600 deutsche Server über n8n-Lücke angreifbar
Eine als Ni8mare bezeichnete Sicherheitslücke in der beliebten Workflow-Automatisierungsplattform n8n gefährdet weltweit aktuell fast 60.000 Systeme. Das zeigen aktuelle Scans der Shadowserver Foundation(öffnet im neuen Fenster) . Auch Deutschland beheimatet viele n8n-Systeme und kommt allein auf über 8.600 anfällige Instanzen. Da potenziell eine vollständige Kompromittierung droht, sollten Admins zügig patchen.
In der Spitze zählte die Shadowserver Foundation(öffnet im neuen Fenster) am 9. Januar bis zu 105.763 für Ni8mare ( CVE-2026-21858(öffnet im neuen Fenster) ) anfällige und über das Internet erreichbare n8n-Instanzen. Das passt auch zu den Angaben der Sicherheitsforscher von Cyera, die in ihrem Bericht vom 7. Januar(öffnet im neuen Fenster) ursprünglich rund 100.000 Systeme als potenziell anfällig einstuften.
Viele dieser Instanzen wurden aber offenbar in den letzten Tagen gepatcht oder vom Netz genommen. Mit Stand vom 12. Januar gelten noch 59.020 Instanzen als angreifbar. Im Ländervergleich(öffnet im neuen Fenster) sind die USA mit 26.727 betroffenen Systemen führend. Danach folgen Deutschland (8.631), Frankreich (5.746), Russland (2.570), Brasilien (1.499) und Finnland (1.495).
BSI warnt vor weiteren n8n-Lücken
Ni8mare lässt sich je nach Konfiguration ausnutzen, um über formularbasierte Workflows Systemdateien mit Cookies, Schlüsseln und anderen vertraulichen Daten von anfälligen n8n-Instanzen abzugreifen. Dies schafft weitere Angriffsmöglichkeiten, die potenziell auch andere Dienste und IT-Systeme betreffen können. Ein Patch dafür wurde schon am 18. November 2025 mit der n8n-Version 1.121.0 bereitgestellt(öffnet im neuen Fenster) .
Allerdings ist CVE-2026-21858 nicht die einzige gefährliche n8n-Lücke, die in den letzten Tagen öffentlich bekannt wurde. Das CERT-Bund des BSI warnte auf Mastodon(öffnet im neuen Fenster) kürzlich neben Ni8mare auch noch vor CVE-2025-68613(öffnet im neuen Fenster) , CVE-2025-68668(öffnet im neuen Fenster) und CVE-2026-21877(öffnet im neuen Fenster) . Diese drei Lücken sind ebenfalls bedenklich, ermöglichen Schadcodeausführungen aus der Ferne und betreffen verschiedene n8n-Versionen.
Laut CERT-Bund laufen die meisten n8n-Instanzen noch mit einer 1.x-Version. Der Support dafür soll allerdings am 15. März auslaufen. Administratoren wird daher empfohlen, rechtzeitig auf Version 2.x zu aktualisieren. Damit sind dann auch automatisch alle vier genannten Sicherheitslücken geschlossen. Bei den Scans der Shadowserver Foundation(öffnet im neuen Fenster) zeigt sich, dass CVE-2025-68668 aktuell sogar noch mehr Instanzen betrifft als Ni8mare.