Zwei Meldungen, 34 Hinweise

n8n ist ein Werkzeug, mit dem sich Abläufe zwischen Programmen automatisieren lassen: Eine E-Mail kommt an, der Anhang landet im richtigen Ordner, in einer Liste entsteht ein neuer Eintrag. Es gibt n8n als Cloud-Dienst, den der Hersteller selbst betreibt. Man kann n8n aber auch selbst betreiben, auf einem eigenen Server oder auf einem gemieteten. Um diese zweite Gruppe geht es hier.

In seinen Sammelmeldungen vom 02.09.2026 und 16.09.2026 hat n8n zusammen 34 Sicherheitshinweise veröffentlicht, 17 davon als hoch (High) eingestuft. Ein Sicherheitshinweis beschreibt eine Schwachstelle, also einen Fehler in der Software, der sich unter bestimmten Umständen für einen Angriff nutzen lässt. Und er nennt die Version, in der der Fehler behoben ist.

Aufgeteilt auf die beiden Meldungen:

  • 02.09.2026: 18 Hinweise, davon 5 hoch (High) und 13 mittel (Medium)
  • 16.09.2026: 16 Hinweise, davon 12 hoch (High) und 4 mittel (Medium)

Die Einstufung Critical kommt in keiner der beiden Meldungen vor. Das sagt etwas über die Einstufung. Eine Entwarnung ist es nicht. Zwölf hoch eingestufte Hinweise in einer einzigen Meldung reichen, um eine schlichte Frage ernst zu nehmen: Wer spielt bei Ihnen die Updates ein, und wie oft sieht jemand nach?

Cloud oder Eigenbetrieb: Der Unterschied liegt beim Update

Beide Meldungen enthalten denselben Absatz, und der bringt die Sache auf den Punkt. Für n8n Cloud, also die vom Hersteller betriebene Variante, schreibt n8n: „If you are running a cloud version of n8n, your instance is patched automatically, and no action is required." Auf Deutsch: Die Instanz, also die einzelne laufende n8n-Installation, wird automatisch aktualisiert, Sie müssen nichts tun.

Für die selbst betriebene Instanz (self-hosted) klingt das anders. Wer eine Version unterhalb der genannten Korrekturstände betreibt, dem empfiehlt n8n, „at your earliest convenience" zu aktualisieren, also so bald wie möglich.

Hier liegt der Kern. Bei der Cloud-Variante ist die Update-Frage beantwortet, bevor jemand sie stellt. Beim Eigenbetrieb passiert nichts von allein. Die Meldung erscheint im Forum des Herstellers, und dann muss jemand sie lesen, die eigene Version prüfen und die neue einspielen. Ist nirgends festgelegt, wer das ist, wird die Aufgabe im Alltag schnell zur Aufgabe von niemandem.

Das ist keine Wertung gegen den Eigenbetrieb. Wer zum Beispiel Wert darauf legt, dass seine Daten auf dem eigenen Server bleiben, hat dafür einen nachvollziehbaren Grund. Der Eigenbetrieb bringt aber eine Aufgabe mit, die bei der Cloud-Variante der Hersteller erledigt.

In unserem Vergleich „n8n, Power Automate oder Make: Tool-Wahl für KMU" steht dazu ein Halbsatz: Beim Eigenbetrieb kommt die Verantwortung für Updates, Sicherheit und Verfügbarkeit dazu. Die beiden Meldungen vom September 2026 zeigen, wie viel Arbeit darin stecken kann.

Welche Versionen die Korrekturen enthalten

n8n pflegt mehrere Versionslinien nebeneinander. Eine Versionslinie ist eine Reihe von Versionen mit derselben Hauptnummer: alles, was mit 1 beginnt, oder alles, was mit 2 beginnt. Für die Linie 2.x unterscheidet n8n zusätzlich zwischen stable, der als stabil freigegebenen Fassung, und beta, einer Vorabfassung.

Laut Meldung vom 16.09.2026 stecken die Korrekturen in diesen Versionen:

  • Linie 1.x: Version 1.123.80
  • Linie 2.x, stable: Version 2.39.6
  • Linie 2.x, beta: Version 2.40.1

In der Meldung vom 02.09.2026 waren es noch 1.123.76 (Linie 1.x), 2.37.7 (stable) und 2.38.2 (beta). Wer auf den Stand vom 02.09.2026 aktualisiert hat und danach nicht mehr, liegt also unter den Versionen, die n8n am 16.09.2026 nennt.

Nicht jeder Hinweis betrifft jede Linie. Mindestens einer der Hinweise nennt in seinem Eintrag in der Sicherheitsdatenbank von GitHub, einer Plattform für Softwareprojekte, nur Versionen der Linie 2.x als betroffen. Welche der 34 Hinweise Ihre Installation tatsächlich betreffen, hängt davon ab, welche Linie und welche Version bei Ihnen läuft. Diese Zuordnung haben wir nicht für jeden einzelnen Hinweis vorgenommen.

Ein Zwei-Wochen-Takt, den der Hersteller selbst nennt

n8n nennt die Meldungen selbst ein zweiwöchentliches Sicherheitsupdate („bi-weekly security update"). Der Hersteller veröffentlicht seine Sicherheitshinweise also alle zwei Wochen gesammelt. Jede Meldung listet die Hinweise auf, die seit der vorherigen Meldung erschienen sind.

Das ist die Angabe des Herstellers zu seinem Vorgehen. Wie viele Hinweise in einer Meldung stehen werden, lässt sich daraus nicht ablesen; die beiden Meldungen vom September 2026 kamen auf 18 und auf 16. Für den Betrieb heißt der Takt vor allem eines: Wer n8n selbst betreibt, braucht keinen besonderen Anlass, um nachzusehen. Den Anlass liefert der Hersteller mit jeder Sammelmeldung.

Für einen kleinen Betrieb ist das ein überschaubarer Rahmen. Ein fester Termin im Kalender, ein Blick auf die Version, bei Bedarf ein Update. Schwierig wird es erst, wenn dieser Termin an niemandem hängt.

Was Sie in Ihrem Betrieb klären können

Die folgenden Punkte lassen sich in einem kurzen Gespräch mit Ihrem Dienstleister klären, oder mit der Person, die n8n bei Ihnen eingerichtet hat.

  • Läuft bei uns n8n im Eigenbetrieb? Fragen Sie auch nach Installationen, die jemand für einen einzelnen Ablauf aufgesetzt hat und die ohne feste Betreuung weiterlaufen.
  • Wer ist für die Updates zuständig? Gemeint ist ein Name, keine Abteilung. Dazu gehört eine Vertretung für Urlaub und Krankheit.
  • Wer liest die Meldungen? Die Sammelmeldungen erscheinen im Forum des Herstellers. Legen Sie fest, wer sie liest und wie die Information zu der Person gelangt, die das Update einspielt.
  • Wie oft wird nachgesehen? Wenn n8n alle zwei Wochen eine Sammelmeldung veröffentlicht, liegt ein Prüftermin im selben Takt nahe.
  • Welche Linie und welche Version laufen gerade? Vergleichen Sie den Stand mit der jüngsten Meldung. Für den 16.09.2026 sind das die Versionen oben.
  • Steht die Aufgabe im Vertrag? Betreibt ein Dienstleister Ihre Instanz, lohnt ein Blick in den Vertrag, ob das Einspielen von Sicherheitsupdates ausdrücklich dazugehört.
  • Was hängt an n8n? Wer in n8n Zugänge zu Postfach, Buchhaltung oder Cloud-Speicher hinterlegt hat, bezieht diese Zugänge in die Überlegung ein. Eine Schwachstelle im Werkzeug betrifft dann auch das, womit es verbunden ist.

Findet sich niemand, der die Updates verlässlich übernimmt, gibt es zwei Wege. Entweder wird die Zuständigkeit festgelegt und mit einer Vertretung abgesichert. Oder Sie prüfen, ob die vom Hersteller betriebene Cloud-Variante zu Ihren Abläufen passt; dort übernimmt n8n laut eigener Angabe das Aktualisieren. Was ein Wechsel kostet und ob Ihre Abläufe dort ohne Änderungen laufen, müsste im Einzelfall geprüft werden.

Ein Sonderfall: die Linie 1.x

Läuft bei Ihnen noch eine Version, die mit 1 beginnt, lohnt ein zweiter Blick. n8n hatte bei der Einführung von Version 2.0 angekündigt, die Linie 1.x drei Monate weiter mit Sicherheitskorrekturen zu versorgen. Im September 2026 erschienen trotzdem noch Korrekturstände für 1.x, zuletzt 1.123.80. Wie lange das so bleibt, hat n8n nicht erklärt.

Klären Sie deshalb mit Ihrem Dienstleister, welche Linie bei Ihnen läuft, und besprechen Sie einen Plan für den Wechsel auf 2.x. Eine Frist dafür lässt sich aus den Angaben des Herstellers nicht ableiten.

Was offen ist

Einige Fragen lassen sich mit den veröffentlichten Angaben nicht beantworten. Wir nennen sie ausdrücklich, damit Sie wissen, wo die belastbaren Aussagen dieses Artikels enden.

  • Ausnutzung: Beide Meldungen sagen nichts dazu, ob einzelne der Schwachstellen bereits für Angriffe genutzt werden. Wir können dazu deshalb keine Aussage machen.
  • Voraussetzungen: Unter welchen Bedingungen sich die einzelnen Schwachstellen ausnutzen lassen, haben wir nicht Hinweis für Hinweis geprüft. Die Einstufung hoch (High) oder mittel (Medium) stammt vom Hersteller.
  • Betroffenheit: Nicht jeder Hinweis gilt für jede Versionslinie. Welche Hinweise Ihre Installation betreffen, zeigt erst der Abgleich mit Ihrer Version.
  • Linie 1.x: Wie lange n8n die Linie 1.x noch mit Korrekturen versorgt, ist offen. Angekündigt waren drei Monate, im September 2026 kamen trotzdem noch Korrekturstände. Eine Erklärung dafür haben wir in den Angaben des Herstellers nicht gefunden.
  • Stand der Zahlen: Wir haben die Hinweise beider Meldungen am 18.09.2026 einzeln ausgezählt. Die Zahlen gelten nur für die Meldungen vom 02.09.2026 und 16.09.2026. Eine Forenmeldung kann nachträglich bearbeitet werden; unsere Zählung gibt den Stand vom 18.09.2026 wieder. Maßgeblich für Ihre Installation ist immer die jüngste Meldung.

Die Sammelmeldungen erscheinen im offiziellen Forum des Herstellers unter community.n8n.io in der Kategorie Security Advisories.

Kontakt

Sie betreiben n8n selbst und möchten die Updates nicht nebenher im Blick behalten? Dann sprechen Sie uns an.