[단독분석] 분석 — CVE-2026-27577

• 심각도 critical · CVSS 9.9 · EPSS 0.08586 · 악용난이도 moderate

• 경로: 인증된 사용자가 워크플로우 생성 또는 수정 권한을 이용해 진입합니다.
• 원리: n8n의 Expression Evaluation 과정에서 입력값 검증 미흡을 악용하여, 특수하게 조작된 표현식(Crafted Expressions)을 파라미터에 삽입합니다.
• 단계: 인증 $\rightarrow$ 워크플로우 파라미터 내 악성 표현식 주입 $\rightarrow$ 표현식 평가 시 시스템 명령 실행 $\rightarrow$ 호스트 OS 권한 획득.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:L/UI:N 벡터를 가지며, 네트워크를 통해 인증된 사용자(PR:L)가 특별한 상호작용 없이도 낮은 복잡도(AC:L)로 공격을 수행할 수 있는 구조입니다. 공격 표면은 n8n의 Workflow 생성 및 수정 인터페이스 내 Expression Evaluation 기능이며, 공격자는 조작된 표현식을 파라미터에 삽입하여 호스트 시스템에서 임의 명령을 실행(RCE)하는 것을 트리거로 합니다. EPSS 수치는 0.08586으로 이론적 심각도 대비 상대적으로 낮게 측정되었으며 KEV에도 등재되지 않아, 현재 야생에서의 광범위한 악용 사례는 미관측된 상태입니다. 그러나 인증 권한만 확보된다면 공격 난이도가 매우 낮아 내부 위협이나 계정 탈취 상황에서 즉각적인 권한 상승 및 시스템 장악으로 이어질 가능성이 큽니다. 따라서 외부 노출 여부보다 워크플로우 편집 권한을 가진 사용자 그룹의 신뢰 수준과 권한 관리 체계가 실제 악용 가능성을 결정짓는 핵심 변수입니다.

• 영향 제품 및 범위:
  • n8n < 1.123.22
  • n8n 2.0.0 - 2.9.3
  • n8n 2.10.0 - 2.10.1
• 기술적 위험: CVSS 9.9 및 벡터 S:C(Scope Changed)에서 알 수 있듯, 애플리케이션 경계를 넘어 호스트 운영체제까지 영향이 확대됩니다. 공격 성공 시 RCE를 통해 시스템 명령어를 실행함으로써 데이터 유출, 악성코드 설치, 내부 네트워크 내 횡적 이동(Lateral Movement) 및 전체 시스템 장악이 가능합니다.
• 비즈니스 리스크: 워크플로우 자동화 플랫폼의 특성상 다양한 API 키와 자격 증명이 저장되어 있을 가능성이 높으며, 이를 통한 2차 피해로 인해 기업 데이터 가용성 상실 및 컴플라이언스 위반 위험이 매우 큽니다.
• 분석 근거: 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성을 확인(신뢰도 1.0)하였으며, 이론적 심각도(CVSS 9.9)와 실제 악용 가능성 지표를 종합하여 분석되었습니다.

• 연계 가능성: 본 취약점은 CVE-2025-68613 이후 발견된 추가적인 Expression Evaluation 취약점으로, 유사한 패턴의 우회 기법이 체이닝될 가능성이 있습니다.

• 로그 분석: n8n 애플리케이션 로그 및 시스템 감사 로그(Audit Log)에서 비정상적인 시스템 명령어 실행 흔적을 모니터링합니다.
• 패턴 예시: 워크플로우 설정 파일이나 API 요청 바디 내에 OS 명령어를 유도하는 특수 문자나 함수 호출 패턴(추정: process.exec, child_process 등 Node.js 런타임 관련 키워드)이 포함되었는지 확인합니다.

• 근본 해결: 최신 패치 버전(2.10.1, 2.9.3, 1.123.22 이상)으로 즉시 업데이트하십시오.
• 임시 조치:
  • 워크플로우 생성 및 편집 권한을 신뢰할 수 있는 최소 인원으로 제한합니다.
  • n8n 실행 환경을 하드닝하여 OS 권한을 최소화하고, 네트워크 아웃바운드 트래픽을 엄격히 제한하여 영향 범위를 축소합니다.
• 우선순위 판단: EPSS 0.08586(백분위 0.94514)은 실제 악용 예측치가 Moderate 수준임을 나타냅니다. KEV에는 등재되지 않았으나 CVSS 점수가 매우 높으므로, 규칙 기반 결정 논리에 따라 이번 주 내(scheduled) 대응을 권고합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.9 · non-KEV · EPSS=0.08586 · exploit=moderate · in_scope=None