Ing. Calogero Bono
Il 13 novembre 2026 lo CSIRT Italia, il centro dell'Agenzia per la cybersicurezza nazionale (ACN), ha pubblicato un alert su n8n, la piattaforma open source di workflow automation. Il vendor ha rilasciato aggiornamenti per alcune vulnerabilità, quattro delle quali con gravità alta. Conta perché n8n collega applicazioni, servizi e API, quindi un'istanza compromessa può toccare molti sistemi dell'azienda.
Qualche termine, prima di entrare nei fatti. Workflow automation è l'automazione di processi che collega software diversi con flussi visuali. API è l'interfaccia con cui due programmi si scambiano dati. Authentication bypass significa aggirare i controlli di accesso. Arbitrary code execution è la possibilità, per un attaccante, di far eseguire codice a sua scelta sul sistema. CVE è il codice che identifica una vulnerabilità pubblica.
Cosa ha segnalato l'ACN su n8n?
Secondo l'alert AL07/261113/CSIRT-ITA, sono stati rilasciati aggiornamenti di sicurezza per sanare alcune vulnerabilità. Quattro hanno gravità «alta». L'ACN precisa che potrebbero consentire a un attaccante di eludere l'autenticazione, modificare dati senza autorizzazione ed eseguire codice arbitrario sui sistemi interessati.
Le tipologie indicate sono quattro. Esecuzione di codice arbitrario, bypass dell'autenticazione, manipolazione dei dati e aggiramento delle restrizioni di sicurezza.
Quali versioni di n8n sono colpite?
L'elenco dell'ACN copre più rami del prodotto.
- tutte le versioni precedenti alla 1.123.89
- ramo 2.x, versioni precedenti alla 2.45.5
- ramo 2.46.x, versioni precedenti alla 2.46.1
- ramo 3.x, versioni precedenti alla 3.0.1
In pratica, ogni ramo ha la sua versione corretta. Non basta sapere che esiste un aggiornamento, devi controllare quale numero ti riguarda.
Quali sono le CVE di gravità alta?
L'ACN elenca solo le CVE delle vulnerabilità alte. Sono CVE-2026-126391, CVE-2026-126385, CVE-2026-126384 e CVE-2026-126383. Nella tabella dell'alert, le colonne dedicate a PoC (codice dimostrativo) ed exploitation (sfruttamento in rete) riportano un trattino per tutte e quattro.
Il trattino indica che l'agenzia non segnala, al momento della pubblicazione, informazioni su questi due aspetti. Non è una garanzia di assenza di rischio, e lo spieghiamo meglio nei limiti.
Perché le automazioni sono un bersaglio delicato?
Uno strumento come n8n di solito custodisce credenziali e accessi verso gestionali, posta, database e servizi cloud. Questa è una nostra considerazione, non un dato dell'alert. Per questo un'esecuzione di codice su quel server può andare oltre la singola macchina.
Non è un caso isolato. Di recente abbiamo raccontato le vulnerabilità di Wazuh con PoC pubblici e il caso di Xen Orchestra, con sfruttamento in rete. Strumenti di gestione e integrazione sono sempre più al centro dell'attenzione.
Limiti da conoscere
L'alert è una sintesi e rimanda ai bollettini del vendor per i dettagli tecnici. Non sappiamo come funzionino le singole falle, né quali richiedano autenticazione. Non risultano PoC o sfruttamento segnalati dall'ACN, ma la situazione può cambiare. Non è chiaro quante istanze siano esposte in Italia, e le altre vulnerabilità, quelle non alte, non sono elencate.
Cosa cambia per chi lavora con il digitale
Se usi n8n, individua la versione installata e il suo ramo, poi aggiorna a 1.123.89, 2.45.5, 2.46.1 o 3.0.1 secondo il caso. Se hai un'istanza raggiungibile da Internet, la priorità è più alta. Se l'istanza è ospitata da un fornitore, chiedi conferma scritta dell'aggiornamento. Chi gestisce server in proprio deve inserire questi controlli in un processo regolare, come fa un servizio di hosting con aggiornamenti di sicurezza gestiti.
Il nostro parere
L'alert è utile ma scarno. Indica versioni e categorie, non spiega la gravità reale per chi ha n8n in produzione. Il rischio concreto dipende da ciò che l'istanza può raggiungere, e molte aziende non l'hanno mai mappato. Le automazioni nascono spesso fuori dall'IT, in modo rapido, e restano senza manutenzione. È qui che questi avvisi cadono nel vuoto. Aggiornare è la parte facile, sapere dove girano i flussi no.
Domande frequenti
Cos'è n8n?
È una piattaforma open source di workflow automation. Permette di integrare applicazioni, servizi e API tramite flussi visuali, come descrive l'ACN.
Quante vulnerabilità ci sono?
L'ACN parla di alcune vulnerabilità, di cui quattro con gravità alta. Il numero totale non è indicato nell'alert.
A quale versione devo aggiornare?
Dipende dal ramo. Sono indicate 1.123.89, 2.45.5, 2.46.1 e 3.0.1, e sono vulnerabili le versioni precedenti a ciascuna.
Ci sono attacchi in corso?
L'alert non lo segnala. Le colonne PoC ed exploitation delle quattro CVE alte sono vuote al momento della pubblicazione.
Dove trovo i dettagli tecnici?
Nei bollettini di sicurezza del vendor, citati dall'ACN nella sezione Riferimenti dell'alert.
Cosa controllare nelle prossime settimane su n8n
L'alert è del 13 novembre 2026 e potrebbe essere aggiornato. Conviene seguire l'evoluzione più che archiviarlo.
- Controlla se l'ACN aggiorna la tabella con PoC o sfruttamento in rete.
- Leggi i bollettini del vendor per capire quali falle riguardano la tua configurazione.
- Fai un elenco delle credenziali salvate in n8n e valuta di cambiarle se l'istanza era esposta.
