Il y a quelques jours, des pirates ont été repérés en train d'exploiter l'écosystème d'automatisation n8n, en introduisant des paquets npm malveillants dans sa place de marché. Ces faux paquets, se faisant passer pour des intégrations officielles, sous forme de connecteurs Google Ads notamment, ont incité les développeurs à brancher des clés OAuth et API. Ils ont ainsi permis aux attaquants d'extraire des tokens et des identifiants sensibles en exécutant un workflow apparemment routinier. Selon Endor Labs, la société de sécurité à l’origine de la découverte, cette attaque représente une escalade dans les menaces pesant sur la chaîne d'approvisionnement logicielle.

« À notre connaissance, la plateforme d'automatisation des workflows no-code n8n n'avait jamais été la cible d'attaques visant la supply chain », a déclaré Henrik Plate, chercheur principal chez Endor Labs. « Cela montre que les attaquants continuent de cibler de nouveaux écosystèmes pour diffuser des paquets malveillants, peut-être en raison du renforcement des contrôles dans d'autres écosystèmes comme npm. » Dans un billet de blog, la société explique que les entreprises habituées à surveiller les systèmes de build pour détecter les abus du cycle de développement pourraient passer complètement à côté de ce type d'attaque car elle cible des plateformes d'automatisation déjà profondément intégrées dans les workloads des entreprises. Bien que les chercheurs n'aient établi aucun lien entre les incidents, cette activité fait suite à la divulgation d'une vulnérabilité n8n de gravité maximale portant la référence CVE-2026-21858.

Déroulement de l'attaque

L'attaque commence par la publication d'un paquet npm frauduleux dans le registre npm public. Ces paquets se font passer pour des nœuds communautaires, des extensions que les utilisateurs de n8n peuvent installer pour étendre les capacités d'automatisation. Une fois installé, ce nœud se comporte comme n'importe quel autre, présentant des écrans de configuration et collectant les informations d'identification requises pour les tâches courantes du workflow. Sauf qu'en coulisses, il exécute un code qui déchiffre les jetons OAuth et les clés API stockés dans le magasin d'identifiants de n8n et les exfiltre vers des serveurs de commande et de contrôle (C2) distants contrôlés par les attaquants.

Cette approche fonctionne parce que n8n traite tous les nœuds installés comme du code fiable. Il n'y a pas de contrôle préalable à la publication sur npm, et les nœuds installés fonctionnent avec un accès complet à l'environnement de workflow. Cela signifie que les nœuds peuvent lire les informations d'identification déchiffrées, effectuer des requêtes réseau arbitraires et interagir avec le système hôte comme le font les nœuds légitimes. « Les chercheurs de l’entreprise de sécurité des données Cyera estiment que plus de 100 000 serveurs n8n sont vulnérables à la faille CVE-2026-21858 », ont indiqué les chercheurs d'Endor Labs. « Nous ne savons pas combien d'entre eux installent des paquets npm en tant que nœuds communautaires dans leurs environnements, mais ce nombre montre que l'écosystème n8n est actif et florissant. »

Des conseils pour réduire les risques

Les plateformes d'automatisation des workflows comme n8n sont largement adoptées pour leur capacité à relier des systèmes disparates sans avoir à coder manuellement chaque intégration. Mais comme l'écosystème des nœuds communautaires dépend des paquets npm, il en hérite les risques associés. Pour atténuer cette exposition, les chercheurs ont recommandé plusieurs mesures. Ils conseillent par exemple de privilégier les noeuds pré-intégrés plutôt que communautaires, d’auditer les métadonnées et le code source des paquets avant leur installation, de surveiller l'activité réseau sortante des hôtes d'automatisation et d’utiliser des comptes de service isolés avec des privilèges limités dans la mesure du possible.

Endor Labs a publié une liste d'indicateurs de compromission (IOC), comprenant les noms des paquets, l'infrastructure C2 et les fichiers malveillants, afin de faciliter le travail de détection. « Même si les paquets malveillants que nous connaissons ont été désactivés au cours des dernières heures, les attaques pourraient se poursuivre et évoluer à l'avenir », a averti M. Plate.