CVE-2025-68613 n8n : CISA KEV, 24 700 instances RCE exposées

Les faits

La CISA (Cybersecurity and Infrastructure Security Agency) a ajouté le 11 mars 2026 la faille CVE-2025-68613 à son catalogue des vulnérabilités exploitées connues (KEV), actant une exploitation confirmée en conditions réelles. Notée CVSS 9,9, cette vulnérabilité critique touche n8n, plateforme open source d'automatisation de workflows adoptée par des dizaines de milliers d'organisations pour orchestrer leurs intégrations métier, leurs pipelines de données et leurs agents IA. La CVE-2025-68613 n8n RCE permet à un attaquant d'exécuter du code arbitraire à distance sur le serveur hôte, ouvrant la voie au vol de secrets et à la compromission des chaînes d'automatisation connectées. Les scans publics recensent environ 24 700 instances exposées sur Internet, dont une large majorité sans correctif. L'inscription au KEV impose aux agences fédérales américaines une remédiation sous quinze jours ; les entreprises privées ont tout intérêt à appliquer le même calendrier.

Sous la Binding Operational Directive BOD 22-01, les agences civiles fédérales américaines (FCEB) disposent jusqu'au 25 mars 2026 pour appliquer le correctif. Des exploits publics circulent depuis la divulgation, ne requérant qu'un compte utilisateur valide. Cette tendance à cibler les outils d'automatisation rejoint celle observée sur d'autres plateformes IA exploitées en moins de 20 heures après divulgation. Les organisations soumises à NIS2 ou DORA doivent prioriser ce vecteur : une instance n8n compromise donne accès à tous les secrets et credentials configurés dans les workflows, offrant un pivot vers l'ensemble de l'infrastructure connectée. La base NVD confirme le périmètre d'impact et les vecteurs d'exploitation détaillés.

Recommandations

• Mettre à jour n8n vers la version 1.122.0 ou supérieure — disponible sur npm, Docker Hub et self-hosted. Vérifier auprès des fournisseurs cloud (Railway, Render, etc.).
• Restreindre l'accès à l'interface n8n — placer les instances derrière un reverse proxy avec authentification forte (MFA), bloquer l'exposition directe sur Internet.
• Effectuer une rotation complète des secrets — tous les tokens API, mots de passe et clés SSH intégrés dans les workflows d'une instance potentiellement exposée doivent être régénérés.
• Surveiller les connexions sortantes suspectes — chercher des connexions vers des webhooks ou services de callback inconnus initiées par le processus n8n depuis décembre 2025.

Comment savoir si mon système est vulnérable à CVE-2025-68613 ?

Pour déterminer votre exposition, inventoriez toutes les instances de n8n dans votre environnement, y compris les versions utilisées. Comparez-les aux versions affectées dans l'avis officiel du fournisseur. Les outils de vulnerability scanning comme Tenable Nessus, Qualys ou OpenVAS proposent généralement des plugins de détection dans les 24-48h suivant la publication d'un CVE critique. Un scan ciblé sur le port et le service concerné permet de confirmer l'exposition.

Que faire si le patch ne peut pas être appliqué immédiatement ?

En cas d'impossibilité de patcher rapidement, plusieurs mesures de mitigation permettent de réduire le risque : isoler les systèmes vulnérables derrière un pare-feu applicatif (WAF), restreindre les accès réseau au strict nécessaire, désactiver les fonctionnalités exposées si possible, et renforcer la surveillance des logs pour détecter toute tentative d'exploitation. Un plan de patch d'urgence doit être déclenché dans les 72h suivant la confirmation de l'exploitation active.

Est-ce que CVE-2025-68613 est activement exploitée dans des attaques réelles ?

Oui — les preuves d'exploitation active ont été confirmées. Des groupes de ransomware et d'APT ont intégré ce vecteur dans leurs chaînes d'attaque. L'exploitation active signifie que le risque n'est plus théorique : toute organisation exposée doit traiter ce correctif comme une priorité absolue indépendamment de ses cycles de maintenance habituels. Consulter le catalogue CISA KEV pour suivre l'état d'exploitation confirmée.

Conclusion

Face à l'évolution constante des menaces, une posture de sécurité proactive est indispensable. Les techniques et recommandations présentées dans cet article constituent des fondations solides pour renforcer la résilience de votre infrastructure.