n8n 2.39 ist verwundbar: zwölf Sicherheitsmeldungen, und welche Fassung ihr jetzt braucht

Am 30. September 2026 hat n8n vierzehn Sicherheitsmeldungen auf einmal veröffentlicht. Zwölf davon betreffen die 2er-Reihe bis einschließlich 2.41.3, acht haben die Stufe hoch. Wer n8n selbst betreibt und seit dem Sommer nicht aktualisiert hat, ist betroffen.

Uns betrifft das auch. Unser Leitfaden zum Selbsthosten ist am 19. September mit 2.39.8 entstanden, damals die neueste stabile Fassung. Der Update-Wächter aus unserem Beitrag von letzter Woche hat die Meldungen am 4. Oktober gefunden. Heute haben wir den Sprung auf die aktuelle Fassung mit unserem eigenen Skript durchgespielt.

Was in den Meldungen steht

Die Meldungen stehen öffentlich im GitHub-Projekt von n8n, jede mit betroffenen und behobenen Fassungen. Drei Gruppen, wenn man sie liest:

• Zugriff ohne Anmeldung. Eine Meldung beschreibt, wie sich wartende Ausführungen ohne Anmeldung freigeben lassen, wenn ein Ablauf mit „Senden und Warten“ auf eine Bestätigung wartet. Eine andere, wie ohne Anmeldung beliebig viele OAuth-Clients angelegt werden können. Eine dritte, wie ein Ablauf eines anderen Projekts über den Pfad seines Webhooks ausgelöst werden kann.
• Mehr Rechte als vorgesehen. Mehrere Meldungen betreffen geteilte Abläufe: Ein Mitglied kommt an Zugangsdaten oder Abläufe, die es nicht sehen dürfte.
• Code und Skripte, wo keine hingehören. Eine SQL-Injektion im Knoten für Microsoft SQL, Code-Ausführung im Git-Knoten, zwei Fälle von eingeschleustem Skript in der Oberfläche.

Wer welche Meldung wie gefährlich findet, hängt vom eigenen Aufbau ab. Eine Instanz, die nur intern erreichbar ist und von einer Person benutzt wird, trifft weniger als eine, die Webhooks aus dem Internet annimmt und von mehreren Leuten bearbeitet wird. Gemeinsam ist allen: Behoben sind sie erst in einer neuen Fassung.

Welche Fassung ihr braucht

Behoben ist alles ab 2.41.4. In der 2.42-Reihe steckt die Korrektur zwar schon in 2.42.1, aber 2.42.0 bis 2.42.2 waren Vorabversionen; die erste stabile Fassung der Reihe ist 2.42.3 vom 5. Oktober. Wer „behoben ab 2.42.1“ liest und danach greift, holt sich eine Vorabversion in den Betrieb. Am 12. Oktober war 2.42.7 die aktuelle stabile Fassung. Für 2.39 und 2.40 hat n8n seit den Meldungen keine neue Fassung veröffentlicht; wer dort steht, muss die Reihe wechseln. Für die alte 1er-Reihe gibt es Korrekturen ab 1.123.83.

So seht ihr, welche Fassung läuft, auf dem Server im Verzeichnis der Compose-Datei:

docker compose exec n8n n8n --version

Der Sprung, einmal durchgespielt

Wir haben heute eine Wegwerf-Instanz mit 2.39.8 und Postgres 17 gestartet, einen Ablauf eingespielt und dann das Skript aus dem Leitfaden laufen lassen. Ohne Argument zeigt es nur an, was eingetragen ist und was neu ist:

Eingetragen in .env: 2.39.8
Neueste stabile Fassung auf GitHub: 2.42.7

Nichts geändert. Vor dem Sprung die Anmerkungen lesen (Suchwort: breaking):
  https://github.com/n8n-io/n8n/releases
Dann: ./aktualisieren.sh 2.42.7

Mit der Nummer sichert es zuerst, zieht das Abbild, stellt die .env um und startet neu. Insgesamt 230 Sekunden, den größten Teil davon für das Herunterladen. Beim ersten Start liefen die Datenbank-Migrationen von selbst durch. Danach meldete n8n 2.42.7, der Gesundheitscheck antwortete, und der Ablauf war noch da.

Was jetzt zu tun ist

1. Fassung nachsehen. Steht dort etwas unter 2.41.4, weiter mit Schritt 2.
2. Sichern, und zwar so, dass ihr die Sicherung auch wieder einspielen könnt. Die Migrationen beim Start laufen nicht rückwärts; zurück geht es nur über die Sicherung.
3. Die Anmerkungen zu den Fassungen dazwischen lesen, Suchwort „breaking“. Von 2.39 auf 2.42 sind es drei Nebenfassungen.
4. Aktualisieren, mit voller Nummer, nicht mit „latest“.
5. Anmelden und die wichtigsten Abläufe einmal von Hand ausführen. Erst danach ist das Update fertig.

Wer das nicht jedes Mal von Hand nachsehen will: Der Update-Wächter meldet einmal am Tag, wenn für eure Fassung eine Sicherheitsmeldung erscheint, und schlägt die Fassung vor, die sie schließt.

Was wir nicht geprüft haben

Keine der Lücken haben wir selbst ausgenutzt; die Beschreibungen stammen aus den Meldungen von n8n auf GitHub, gelesen am 12. Oktober 2026. Nach dem Sprung nicht geprüft: das Ausführen von Abläufen, hinterlegte Zugangsdaten und Abläufe mit Knoten, deren Verhalten sich zwischen den Fassungen geändert hat. Ob n8n Cloud betroffen war und schon aktualisiert ist, haben wir nicht nachgesehen; dieser Beitrag betrifft selbst betriebene Instanzen.

Stand dieses Artikels

Geschrieben am 12. Oktober 2026, am 16. Oktober korrigiert: In der ersten Fassung stand „behoben ab 2.41.4 und ab 2.42.1“, ohne Hinweis, dass 2.42.1 eine Vorabversion ist. Sicherheitsmeldungen und Fassungen aus dem GitHub-Projekt n8n-io/n8n, abgefragt am 12. Oktober 2026. Update-Test am selben Tag auf einem Mac mit Docker Desktop: n8n 2.39.8 auf 2.42.7, Postgres 17, mit aktualisieren.sh aus dem Paket zu „n8n auf Hetzner Cloud selbst hosten“. Die Testinstanz wurde danach entfernt.

Häufige Fragen