[분석가] 분석 — CVE-2026-27577

• 심각도 critical · CVSS 9.9 · EPSS 0.08586 · 악용난이도 moderate

인증된 사용자가 워크플로우의 파라미터에 조작된 expression을 삽입하면 n8n이 내부 JavaScript 엔진으로 평가하면서 임의의 시스템 명령을 실행합니다. 이 과정은 네트워크를 통해 원격에서 직접 트리거되며, 별도의 권한 상승 없이 호스트 OS 수준까지 영향을 미칩니다.

• 기술적 위험: 성공적인 악용 시 공격자는 운영체제 쉘 명령을 실행할 수 있어 파일 시스템 접근·삭제·변조·프로세스 생성·네트워크 연결 등 전반적인 시스템 장악이 가능함.
• 비즈니스 영향: 서비스 가용성 저하(서비스 중단 또는 비정상적 동작), 민감 데이터 유출 위험, 컴플라이언스 위반(예: 로그 조작·무결성 훼손) 및 기업 신뢰도 손실이 발생할 수 있음.
• 영향 제품 및 노출 규모: n8n 1.x 버전 < 1.123.22, 2.0.0‑2.9.3, 2.10.0‑2.10.1 에 모두 적용되며, 이 버전을 운영 중인 모든 조직이 대상임. 공개된 배포판·Docker 이미지 등 다양한 환경에 동일하게 존재함.

• 이전에 패치된 CVE‑2025‑68613과 연관되어 expression 평가 로직의 전반적인 보안 강화가 이루어졌음.
• 추가적인 체이닝 가능성은 동일 호스트에서 실행 중인 다른 서비스(예: 파일 업로드, API 엔드포인트)로의 권한 상승을 위한 쉘 활용에 있음.

• n8n 로그에 Expression evaluation error 혹은 Executed command: 와 같은 문자열이 기록되는 경우.
• 워크플로우 실행 시 시스템 명령(exec, spawn, child_process) 호출 트레이스가 OS 수준 감사 로그(예: Linux auditd)와 매칭될 때.
• 비정상적인 네트워크 연결(예: 외부 IP 로의 outbound SSH/TCP) 발생 시 SIEM에서 알림.

1. 즉시 조치

   • n8n을 2.10.1, 2.9.3 또는 1.123.22 이상 버전으로 업데이트하고, 가능한 경우 최신 릴리즈로 업그레이드합니다.
   • 워크플로우 생성·수정 권한을 신뢰할 수 있는 관리자 계정에만 부여하고, 최소 권한 원칙을 적용합니다.
   • n8n 프로세스를 비특권 사용자(예: n8n 전용 OS 유저)로 실행하고, 컨테이너화·네트워크 세분화를 통해 외부 접근을 제한합니다.

2. 장기 방어

   • 워크플로우 정의 파일에 대한 정적 스캐닝 규칙을 도입해 위험한 expression(예: process.env, require('child_process'))을 사전 차단합니다.
   • 로그 레벨을 적절히 상향하고, expression 평가 결과를 별도 감사 로그로 전송하도록 설정하여 SIEM에서 실시간 모니터링합니다.
   • MFA 적용·세션 타임아웃 정책으로 인증 계정 탈취 위험을 감소시킵니다.

위 조치를 순차적으로 수행하면 현재 EPSS 0.08586(악용 가능성이 중간 수준)과 높은 CVSS 9.9 점수에 기반한 긴급 대응 요구를 충족할 수 있습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.9 · non-KEV · EPSS=0.08586 · exploit=moderate · in_scope=None