n8n 在 2026 年 10 月 1 日和 10 月 14 日各發了一次資安公告，兩次都修了好幾個高風險漏洞。用 n8n Cloud 的人，官方已經自動修補，不用做任何事；自己架 n8n 的人要自己升級：用穩定版的至少升到 2.43.5，還在 1.x 的至少升到 1.123.85，用 beta 的至少升到 2.44.1。官方之後又陸續發了更新的版本，直接升到你那條版本線的最新版最省事。下面整理這兩次修了什麼、哪些用法特別要注意，以及用 Docker 自架時怎麼升級比較不會出事。
本文依 n8n 官方論壇的資安公告與 GitHub 發行紀錄整理，資料截至 2026 年 10 月 23 日；漏洞細節與受影響版本以官方公告為準。
10 月兩次公告修了哪些漏洞
10 月 1 日那次，高風險的項目包括 Microsoft SQL 節點的 SQL 注入（運算式的內容會被插進查詢欄位）、「Send and Wait」節點的 HMAC 驗證可以被繞過，讓沒登入的人核准正在等待的執行，以及 Git 節點的 log 操作可以被拿來執行程式碼。修正版本是 1.x 線的 1.123.83、穩定版 2.41.4、beta 2.42.1。
10 月 14 日那次，高風險的項目包括工作流程歷史在壓縮時的原型污染，可以讓服務停擺；Webhook 回應沒有套用沙箱政策，造成儲存型跨站腳本；用特製的工作流程 ID 就能讀到其他專案的資料表；還有好幾個節點會在執行錯誤的資料裡露出憑證密鑰。中度風險的項目裡，也有 Slack 觸發節點的權杖外洩與伺服器端請求偽造。修正版本是 1.x 線的 1.123.85、穩定版 2.43.5、beta 2.44.1。官方在這次公告寫明，n8n Cloud 的實例已經自動修補。
換句話說，只要升到 10 月 14 日的修正版本或更新的版本，兩次公告的漏洞就都補上了。這也不是 n8n 今年第一次發資安公告，1 月官方部落格就發過一次影響 1.65 到 1.120.4 版的公告，自己架的人最好把定期升級當成例行工作。
哪些用法要特別注意
對外開著 Webhook、或用「Send and Wait」做核准流程的人，最該先升級。這兩類漏洞從外面就碰得到，例如用 Email 或聊天軟體送出「同意」「拒絕」按鈕、等主管按下去才繼續的流程，在修補前可能被沒登入的人直接核准。
團隊多人共用一個 n8n、用專案把權限分開的，要留意跨專案讀到資料表的漏洞，修補前專案之間的資料不一定隔得開。執行錯誤裡露出憑證密鑰，影響的是看得到執行紀錄的人：如果團隊裡很多人能看執行紀錄，或你曾經把錯誤畫面截圖貼給別人，升級之後把重要服務的 API 金鑰換一組會比較保險。有用 Microsoft SQL、Git、Slack 觸發節點的人，也請確認升級真的完成了。
先確認你現在是哪一版
n8n 現在同時有三條版本線在修補：1.x（1.123 系列）、2.x 穩定版和 2.x beta。用 Docker 自架的話，先打開 docker-compose.yml 看 n8n 映像檔後面寫的版本號；如果寫的是 latest，代表你跑的是上次拉映像那天的版本，不一定是現在的最新版，可以在主機上用 docker exec 容器名稱 n8n --version 直接查。
用 Docker 自架，怎麼升級比較穩
- 先備份。資料庫是 SQLite 的話，備份 .n8n 資料夾；用 PostgreSQL 的話，先匯出一份資料庫。也可以用
n8n export:workflow --all和n8n export:credentials --all把流程與憑證另外匯出，憑證預設會以加密的形式匯出。 - 確認加密金鑰還在。憑證是用 N8N_ENCRYPTION_KEY 加密的（沒有設定的話，n8n 會把金鑰存在 .n8n 資料夾的設定檔裡），重建容器或換主機時少了它，所有憑證都解不開。
- 把映像檔改成明確的版本號，例如穩定版線就寫 2.43.5 或更新的版本，不要只寫 latest，之後要退回也比較清楚。改好後執行
docker compose pull，再執行docker compose up -d。 - 升級完打開幾個常用流程手動跑一次，確認 Webhook 收得到、排程有在跑，再看一下執行紀錄有沒有新的錯誤。出問題就把版本號改回去，並還原剛才的備份。
還在 1.x 的人，建議先在 1.x 線上升到 1.123.85 以上，把漏洞補起來；從 1.x 跳到 2.x 是大版本，官方另外寫了 2.0 的變更說明，讀過、排好時間再升，不要跟這次的資安修補綁在一起做。
不想每次公告都自己追版本的話
自己架仍然是最有彈性的做法，適合熟 Docker、流程不多、願意固定排時間維護的人。建議訂閱官方論壇的資安公告分類，一有公告就排時間升級；自己架實際要花多少，可以看自架 n8n 比較便宜嗎這篇。
n8n Cloud 由官方負責修補，這次公告也寫明 Cloud 不需要任何動作；它依工作流程的執行次數計費，流程跑得多的話要先算清楚，差別寫在n8n 自架 vs n8n Cloud。
第三種是交給託管服務。RoamerHost 的 n8n 託管是獨立容器，包含自動更新、自動備份、24/7 運行監控與自動重啟，執行次數與流程數都不設上限，年繳 NT$5,988（平均每月 NT$499），付款後約 60 秒開好。流程可以隨時匯出成 JSON，之後想搬走也不會被綁住，方案細節在 n8n 自動化系統方案頁。如果你的 n8n 原本架在 Zeabur，對方已宣布年底停止服務，可以先看Zeabur 停止營運後的搬家指南，把流程和金鑰整理好再一起搬。
常見問題
Q：用 n8n Cloud 也要做什麼嗎？
不用升級。官方 10 月 14 日的公告寫明 Cloud 實例已經自動修補。如果團隊有很多人看得到執行紀錄，擔心錯誤資料裡露出過憑證，可以自己評估要不要換掉重要服務的 API 金鑰。
Q：一定要升到 2.x 嗎？
不一定。這兩次公告都同時修了 1.x 線，還在 1.x 的人升到 1.123.85 以上，就補上了這兩次的漏洞。2.x 是另一個大版本，等你有時間讀完官方的變更說明、測過流程再升。
Q：升級會不會讓流程壞掉？
同一條版本線裡的升級，改動通常比跨大版本小，但還是建議照上面的步驟先備份、升完手動跑一次常用流程。有問題就把映像檔版本號改回原本的，並還原備份；只改版本號、不還原資料庫，有時候會因為資料表已經被新版改過而開不起來。
Q：下一次公告去哪裡看？
n8n 官方論壇有一個資安公告分類，每次公告都會發在那裡；GitHub 的資安公告頁也查得到每個漏洞的細節與受影響版本。
資料來源
- n8n 官方論壇：2026 年 10 月 1 日資安公告、2026 年 10 月 14 日資安公告、資安公告分類
- n8n GitHub：版本發行紀錄、資安公告
- n8n 官方部落格：2026 年 1 月資安公告（1.65 到 1.120.4 版）、n8n 2.0 介紹
- RoamerHost：n8n 自動化系統方案與常見問題
n8n
