n8n の旧 Function / LangChain Code ノードでメインプロセス上のコード実行（2.42.6 等で修正）

High（CVSS 8.8）に分類されるn8n n8n 2.42.6 未満 / 2.43.0〜2.43.3 未満 / 3.0.0（3.0.1 未満）の脆弱性です。**ワークフロー自動化ツール n8n で、非推奨になった Function / Function Item / LangChain Code ノードが隔離された task runner の外（n8n のメインプロセス）で JavaScript を実行してしまう。** n8n のアドバイザリ GHSA-9p7v-45m2-wxgj（2026年10月28日公開）によれば、ワークフローを作成・編集・インポートできる認証済みユーザーが、画面には出ないこれらのノード種別を名指ししたワークフローを入れると、メインプロセス上でコードを実行できる。 **評価値。** CVSS 3.1 は VulnCheck（CNA）の **8.8 High**（PR:L＝ワークフローを編集できるアカウントが前提）、n8n 自身は CVSS 4.0 で 8.7 High としている。NVD の分析状況は Deferred。実際の悪用は 2026-11-02 時点で報告されておらず、CISA KEV にも未収載。 **修正前に保存したワークフローはそのまま動き続ける**とアドバイザリは注意しており、更新後もこれらのノードを使うワークフローを Code ノードへ置き換える必要がある。

**n8n を修正版へ上げる。** 2.42 系は **2.42.6 以上**、2.43 系は **2.43.3 以上**、3.0 系は **3.0.1 以上**（アドバイザリは 2.44.0 も修正版として挙げる）。2.42.6 のリリースノートには「非推奨ノードを含むワークフローの作成・更新をブロックする」変更が入っている。 **更新後に既存ワークフローを点検する。** 修正前に保存された Function / Function Item / LangChain Code ノードは動き続けるので、該当ワークフローを洗い出して Code ノードへ置き換える。**N8N_DEPRECATED_NODES_BLOCK=false は設定しない**（脆弱な挙動に戻る）。 **すぐ上げられない場合（暫定策・公式記載）。** 環境変数 NODES_EXCLUDE に n8n-nodes-base.function・n8n-nodes-base.functionItem・@n8n/n8n-nodes-langchain.code を加え、ワークフローの作成・編集権限を信頼できる利用者に絞る。アドバイザリは、これらはリスクを完全には取り除かないとしている。

n8n n8n 2.42.6 未満 / 2.43.0〜2.43.3 未満 / 3.0.0（3.0.1 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-119408）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。