Lỗ hổng CVSS Critical CVE-2026-65590 trong gói @n8n/computer-use cho phép lệnh shell truy cập không giới hạn hệ thống tệp và mạng trên Linux, Windows. Cập nhật ngay!
Tổng quan về lỗ hổng bảo mật
Ngày 22/07/2026, thông tin về lỗ hổng bảo mật nghiêm trọng có mã định danh CVE-2026-65590 đã chính thức được công bố. Lỗ hổng này được đánh giá ở mức độ CRITICAL (Nghiêm trọng), liên quan đến cơ chế cô lập môi trường thực thi (sandbox) trong nền tảng tự động hóa quy trình n8n.
Chi tiết kỹ thuật và Tác động
Lỗ hổng phát sinh trong gói mở rộng @n8n/computer-use. Cụ thể, n8n đã không thực thi các hạn chế sandbox đối với các lệnh shell khi chạy trên hệ điều hành Linux và Windows (trước đây cơ chế sandbox chỉ được thiết lập cho macOS).
Do thiếu hụt rào cản bảo mật này, các lệnh shell được thực thi bởi công cụ sẽ chạy mà không gặp bất kỳ hạn chế nào về hệ thống tệp (filesystem) lẫn mạng (network). Điều này cho phép tiến trình agent computer-use truy cập không giới hạn vào hệ thống tệp và mạng nội bộ của máy chủ (host), tạo điều kiện cho các hành vi can thiệp trái phép hoặc thất thoát dữ liệu nghiêm trọng.
Đối tượng bị ảnh hưởng
Lỗ hổng CVE-2026-65590 ảnh hưởng đến các phiên bản hệ thống sau:
- Các phiên bản n8n trước 2.29.8.
- Các phiên bản thuộc nhánh 2.30.x trước 2.30.1.
Lưu ý quan trọng: Lỗ hổng này chỉ ảnh hưởng đến các bản triển khai n8n có cài đặt thủ công và đang khởi chạy gói @n8n/computer-use trên nền tảng Linux hoặc Windows. Các cài đặt n8n tiêu chuẩn (standard installations) không tích hợp gói này hoàn toàn không bị ảnh hưởng.
Khuyến nghị khắc phục
Để đảm bảo an toàn cho hệ thống, Bitech khuyến nghị các quản trị viên và kỹ sư vận hành nhanh chóng thực hiện các biện pháp sau:
- Cập nhật phiên bản: Tiến hành nâng cấp n8n lên phiên bản 2.29.8 hoặc 2.30.1 (hoặc mới hơn) để áp dụng bản vá lỗi sandbox.
- Tạm thời vô hiệu hóa: Trong trường hợp chưa thể cập nhật ngay, cần gỡ bỏ hoặc ngừng sử dụng gói
@n8n/computer-usetrên các máy chủ Linux và Windows. - Giám sát hệ thống: Rà soát nhật ký hoạt động (logs) của các agent thực thi lệnh shell để phát hiện kịp thời các truy cập bất thường vào hệ thống tệp hoặc mạng.
Nguồn tham khảo
- Cơ sở dữ liệu lỗ hổng quốc gia Mỹ (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-65590
- Khuyên cáo bảo mật từ n8n (GitHub Advisory): https://github.com/n8n-io/n8n/security/advisories/GHSA-fpg6-x68q-5793
- Cảnh báo từ VulnCheck: https://www.vulncheck.com/advisories/n8n-before-shell-sandbox-bypass-on-linux-windows
Ngày phát hành: 22/07/2026
Nguồn: NVD — CVE-2026-65590
Tham khảo: https://github.com/n8n-io/n8n/security/advisories/GHSA-fpg6-x68q-5793
Tham khảo: https://www.vulncheck.com/advisories/n8n-before-shell-sandbox-bypass-on-linux-windows