Automatización · Ciberseguridad
n8n: 15 fallas de seguridad y a qué versión actualizar
¿Tu n8n self-hosted está expuesto? n8n publicó 15 avisos de seguridad el 14 de octubre. A qué versión actualizar y cómo proteger tus credenciales.
¿Tu n8n está actualizado? Las 15 fallas de seguridad de octubre
n8n publicó el 14 de octubre de 2026 quince avisos de seguridad, cuatro de gravedad alta, y la corrección está en la versión 2.43.5 o posterior. Si tu empresa usa n8n en un servidor propio (self-hosted), alguien tiene que actualizarlo: a diferencia de n8n Cloud, no se parchea solo. Y como n8n guarda las credenciales de tu CRM, tu correo y tu WhatsApp, una instancia vieja es una llave maestra expuesta.
Resumen rápido
- 15 avisos en la actualización quincenal del 14 de octubre; 4 con gravedad alta en GitHub (CVSS de 7,1 a 8,4).
- Versiones corregidas: 2.43.5+ (estable), 2.44.1+ (beta) y 1.123.85+ (rama 1).
- Lo más delicado: XSS en webhooks, acceso a tablas de datos de otros proyectos y secretos visibles en errores de ejecución.
- n8n Cloud ya está parcheado; las instalaciones propias no.
Las fallas más importantes
| Falla | Gravedad (CVSS) | Qué puede pasar |
|---|---|---|
| XSS almacenado en respuestas de webhooks sin política de sandbox | 8,4 | Ejecutar código en el navegador de quien abre la respuesta |
| Control de acceso roto con un ID de flujo manipulado | 7,2 | Leer tablas de datos de otros proyectos de la misma instancia |
| Contaminación de prototipo en el historial de flujos | 7,1 | Tumbar la instancia (denegación de servicio) |
| Patrón glob en el nodo Read/Write Files | 7,1 | Bloquear n8n y detener todas las automatizaciones |
| Secretos en los datos de error de varios nodos | 5,3 (alta para n8n) | Exponer contraseñas y tokens a quien vea las ejecuciones |
El detalle está en el aviso de seguridad de n8n del 14 de octubre y en los avisos publicados en GitHub.
Por qué importa aunque tu n8n «funcione bien»
Una instancia de n8n desactualizada no da señales: los flujos siguen corriendo. El riesgo está en lo que concentra. En una pyme típica, n8n tiene acceso al CRM, a la cuenta de WhatsApp Business, al correo, a la hoja de facturación y a veces al banco. Y sus webhooks están abiertos a internet para recibir formularios y mensajes, que es justo la puerta que usa la falla más grave de esta lista.
Self-hosted o n8n Cloud: qué cambia en seguridad
| Aspecto | n8n Cloud | n8n self-hosted |
|---|---|---|
| Parches de seguridad | Automáticos | Los aplica quien administra el servidor |
| Dónde quedan tus datos | Servidores de n8n | Tu servidor o el de tu proveedor |
| Control de versiones y nodos | Limitado | Total |
| Riesgo principal | Depender de un tercero | Quedarse en una versión vieja |
Muchas empresas eligen self-hosted por costo o por mantener los datos de clientes en su propia infraestructura, algo razonable bajo la Ley 1581. Pero esa elección trae una obligación: alguien con nombre propio debe seguir los avisos y actualizar.
El ángulo de Zero Azul: el ritmo de parches es quincenal, el tuyo debe serlo también
n8n publica sus actualizaciones de seguridad cada dos semanas. Por eso, cuando instalamos n8n self-hosted para un cliente, el mantenimiento no se deja a «cuando haya tiempo». Lo que aplicamos en cada instancia que administramos:
- Versión fijada, nunca
latest. Así cada actualización es una decisión con copia previa, y no una sorpresa al reiniciar el servidor. - Copia de la base de datos antes de cada salto de versión, guardada fuera del servidor.
- Datos de ejecución con caducidad y acceso restringido: solo quien mantiene los flujos ve los errores, porque ahí pueden quedar secretos.
- Webhooks públicos detrás de un proxy y el editor de n8n sin exponer a internet.
- Revisión del aviso quincenal para decidir si se actualiza el mismo día o en la siguiente ventana.
Qué hacer ahora
- Entra a tu n8n, abre Configuración > Acerca de y mira la versión.
- Si es menor a 2.43.5 (o a 1.123.85 en la rama 1), programa la actualización esta semana con copia previa.
- Revisa quién tiene usuario en tu instancia y quién puede ver las ejecuciones.
- Si la instancia la montó un proveedor que ya no está, ese es el riesgo más urgente.
Después de actualizar, haz una prueba corta: dispara a mano los dos o tres flujos que más dinero mueven (el que crea leads en el CRM, el que confirma pedidos o el que responde en WhatsApp) y confirma que terminan sin error. Las actualizaciones de n8n a veces cambian el comportamiento de algún nodo, y es mejor descubrirlo tú que un cliente que no recibió su confirmación. Deja anotada la fecha y la versión: la próxima actualización de seguridad llega en dos semanas.
Si prefieres no cargar con esto, en Zero Azul ofrecemos n8n gestionado con actualizaciones y monitoreo, y diseñamos automatizaciones de procesos con n8n pensadas para no exponer credenciales. Si estás empezando, lee nuestra guía completa de automatización con n8n.
Preguntas frecuentes
¿Qué vulnerabilidades publicó n8n en octubre de 2026?
El 14 de octubre de 2026 n8n publicó 15 avisos de seguridad en su actualización quincenal. Cuatro tienen gravedad alta en GitHub, entre ellos un XSS almacenado en respuestas de webhooks (CVSS 8,4) y un fallo de control de acceso que expone tablas de datos de otros proyectos (CVSS 7,2).
¿A qué versión de n8n debo actualizar?
A la 2.43.5 o posterior en la rama estable, 2.44.1 o posterior en beta, o 1.123.85 o posterior si sigues en la versión 1. n8n Cloud se actualiza solo; las instalaciones self-hosted las tiene que actualizar quien administra el servidor.
¿Cómo actualizo n8n self-hosted en Docker sin perder mis flujos?
Haz primero una copia de la base de datos y del volumen de n8n, fija la nueva versión en tu docker-compose en lugar de usar latest, descarga la imagen y reinicia el contenedor. Luego prueba los flujos críticos antes de volver a activar los webhooks públicos.
¿Es seguro guardar credenciales de clientes en n8n?
Puede serlo si limitas quién ve los datos de ejecución, cifras las credenciales con una clave propia y mantienes la instancia actualizada. Uno de los avisos de octubre muestra que algunos nodos podían dejar secretos en los datos de error de las ejecuciones.
¿Cuánto cuesta tener n8n administrado en Colombia?
Depende del número de flujos, del volumen de ejecuciones y de si incluye monitoreo y actualizaciones. Lo importante es que el precio incluya parches de seguridad con tiempos definidos, porque n8n publica avisos cada dos semanas.