n8n の computer-use でシェルのサンドボックスが効かない不備

Critical（CVSS 9.8）に分類されるn8n n8n (@n8n/computer-use)の脆弱性です。n8n の @n8n/computer-use パッケージが、Linux と Windows でシェルのサンドボックス制限を適用していなかった。サンドボックスは macOS でのみ効いており、他の OS ではツールが実行するシェルコマンドがファイルシステムもネットワークも一切制限されない状態で走る。結果として computer-use エージェントのプロセスから、ホストのファイルシステムとネットワークへ無制限にアクセスできる。影響を受けるのは 2.29.8 より前の n8n と、2.30.1 より前の 2.30.x 系で、Community 版と Enterprise 版の両方が CPE に挙がっている。重要なのは適用範囲で、この問題は @n8n/computer-use パッケージを明示的にインストールして動かしている環境にのみ影響し、標準的な n8n のインストールは影響を受けないと明記されている。CVSS は評価元で大きく割れている。NVD（Primary）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）だが、CNA の VulnCheck は CVSS 4.0 で 5.5 Medium（CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H）としている。VulnCheck 側は高い権限を必要とし攻撃条件も限定的（PR:H、AT:P）で、影響は当該コンポーネント外に及ぶ（SC:H/SI:H/SA:H）という見方であり、実態としては前提条件の厳しさの評価差である。CISA KEV には未収載。NVD の公開日は 2026-07-22、vulnStatus は Analyzed。

最初にやるのは該当有無の切り分けで、多くの環境はそもそも対象外になる。@n8n/computer-use を明示的に導入していない限り影響しないので、n8n のインストール先で npm ls @n8n/computer-use、あるいはコンテナ内で ls node_modules/@n8n を確認し、パッケージが存在して実際に動いているかを見る。存在しなければ該当せず、対応は不要である。存在する場合はバージョンを確認し、2.29.8 未満、または 2.30.0 なら該当する。修正版は 2.29.8 と 2.30.1 で、Community 版と Enterprise 版のどちらも同様に扱う。見落としやすいのは、AI エージェント機能を試すために一時的に computer-use を入れた検証環境や、社内の PoC 用インスタンスが本番ネットワークに置かれたままになっているケースである。すぐ更新できない場合は、computer-use パッケージを外して機能を止めるのが最も確実な緩和になる。機能を残す必要があるなら、サンドボックスが効いていない前提でホスト側に境界を作る。具体的には computer-use を動かすプロセスを専用のコンテナや VM に分離し、読み書きできるボリュームを最小限にし、外向き通信を許可先だけに絞り、クラウドのインスタンスメタデータ（169.254.169.254）へ到達できないようにする。この機能を使えるユーザーを限定するのも効く。完了条件は、（1）computer-use を使っている環境が 2.29.8 または 2.30.1 以降になっていること、あるいは当該パッケージを撤去していること、（2）使い続ける環境ではプロセスがホストと同じ権限でシェルを実行してもよいだけの分離ができていること、の2点である。KEV 未収載であり是正期限は設定されていないが、Primary の評価が Critical であることを踏まえ、該当した環境は通常の更新サイクルより前倒しで処理するのが妥当である。

n8n n8n (@n8n/computer-use) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-65590）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。