Índice do artigofaltam 6 min de leitura
Vulnerabilidade divulgada é uma boa notícia para quem tem quem aplique a correção. Para quem não tem, ela é um relógio contando.
Comecemos pelo que este artigo não é. A X-Apps usa n8n, gosta de n8n e o recomenda com frequência. Ele é uma das ferramentas de automação mais produtivas que existem, com um catálogo de integrações enorme e uma curva de aprendizado curta o suficiente para quem não é desenvolvedor montar coisas úteis.
Também não é um artigo sobre vender licença de ninguém. É sobre um recorte específico: operações pequenas em que o dado que passa pela automação vale muito mais que a automação em si. Escritório que lida com informação não pública, consultoria que enxerga número de cliente antes do mercado, saúde, crédito, M&A. São operações em que o acervo é o ativo principal, e uma automação mal colocada expõe justamente ele. Nesses casos, o self-hosted muda de natureza, e vale entender exatamente o que ele passa a exigir de você.
Resumo do artigo
- O NVD registrou 126 vulnerabilidades do servidor n8n entre janeiro e 20 de agosto de 2026, sendo 21 com nota 9,0 ou maior e duas com nota máxima 10,0.
- Volume alto de CVE não prova software ruim: prova adoção e programa ativo de divulgação. O que ele mede com precisão é quantas atualizações você precisou aplicar.
- No self-hosted, o dever de atualizar é seu, e a própria documentação do n8n desaconselha atualizar produção sem backup e teste. Isso é trabalho recorrente de gente.
- Em operação de volume baixo, um servidor ligado 24 horas custa e fica exposto mesmo sem executar nada. Modelo por execução resolve os dois problemas.
Foram 126 vulnerabilidades do servidor n8n só em 2026
Consultando a base do NVD, o registro nacional de vulnerabilidades dos Estados Unidos, pela palavra-chave n8n e filtrando os registros que descrevem o servidor n8n (excluindo o n8n-MCP e projetos de terceiros com nome parecido), chega-se a 142 vulnerabilidades publicadas desde 2023. A distribuição por ano é o que importa.
Fonte: API do NVD (services.nvd.nist.gov), consulta por palavra-chave "n8n", leitura de 31 de agosto de 2026. Universo: 172 registros brutos, filtrados para os 142 cujas descrições tratam do servidor n8n.
Duas delas receberam nota 10,0, o máximo da escala: a CVE-2026-21858 e a CVE-2026-54309. Nota 10,0 significa exploraç ão remota sem autenticação com impacto total.
O que isso destrava para a decisão: cada linha desse gráfico é uma atualização que alguém precisou planejar, testar e aplicar. O número não descreve o software, descreve o trabalho.
Por que a contagem alta não significa software ruim
Precisa ficar dito, porque a leitura preguiçosa do gráfico acima é injusta e leva à decisão errada.
Volume de CVE mede três coisas ao mesmo tempo: quantidade de código, quantidade de pesquisadores olhando e disposição do fornecedor em publicar o que encontra. Software popular atrai pesquisa. Fornecedor sério publica. O resultado combinado é um número alto que, isolado, parece uma acusação e não é.
Existe até um argumento a favor: um projeto que publica 126 registros em oito meses tem um processo de divulgação funcionando. O silêncio seria pior sinal.
O problema, então, não está na existência das falhas. Está no que acontece depois delas.
O problema é o dever de atualizar, e ele é seu
No modelo self-hosted, cada correção publicada vira uma tarefa sua. E a própria documentação do n8n é honesta sobre a dificuldade disso: ela recomenda manter a versão em dia e, ao mesmo tempo, alerta para não atualizar produção automaticamente sem backup, porque uma nova versão pode mudar comportamento de nós e dependências. A orientação é fazer backup antes e testar os fluxos e webhooks importantes depois.
Traduzindo para a rotina de uma empresa de cinco pessoas: toda vez que sai uma correção relevante, alguém precisa parar o que está fazendo, fazer backup, atualizar, testar os fluxos que importam e voltar. Em um ano com dezenas de correções relevantes, isso deixa de ser eventual.
Entre a publicação da correção e o momento em que você aplica existe uma janela. Nela, a falha é pública e o seu ambiente ainda não foi corrigido. Quanto mais popular o software, mais gente sabe explorar aquilo dentro dessa janela.
Em uma operação com equipe de infraestrutura, a janela é curta e conhecida. Em uma operação sem essa equipe, ela depende de alguém lembrar, e costuma medir semanas.
Existe uma saída dentro da própria n8n, e ela é a resposta certa para muita gente: o n8n Cloud, na versão gerenciada, em que a atualização e a operação do servidor ficam com a fabricante. Isso resolve o dever de patch. Continua valendo a segunda pergunta, que é sobre onde o seu dado transita, e essa pergunta você responde independentemente da ferramenta.
Um servidor ligado 24 horas custa mesmo quando não faz nada
O self-hosted tem uma segunda característica que passa despercebida em operação pequena: ele não é acionado por evento, ele fica ligado. Um servidor de automação com banco e fila roda o mês inteiro, tenha ou não trabalho.
Numa operação que executa algumas dezenas de rotinas por mês, isso significa pagar por uma máquina praticamente ociosa e, principalmente, manter uma superfície exposta na internet 24 horas por dia para atender uma carga que caberia em minutos de processamento.
O quadrante marcado é onde a maioria das empresas pequenas realmente está no começo, e onde a decisão importa pouco. A decisão importa no quadrante de cima à esquerda, que é o recorte deste artigo: dado que não pode vazar e volume que não justifica infraestrutura própria.
As alternativas dentro do ecossistema que você já paga
Se a empresa já tem Microsoft 365, existem dois caminhos nativos, e eles diferem menos em capacidade e mais em modelo de cobrança e perfil de quem constrói.
| Critério | Power Automate | Azure Logic Apps | n8n self-hosted |
|---|---|---|---|
| Como você paga | US$ 15 por usuário/mês no plano Premium, pago anualmente | Por execução no plano Consumption, com as primeiras 4.000 ações internas por mês incluídas | Infraestrutura, ligada o mês inteiro |
| Servidor para manter | Nenhum | Nenhum, no plano Consumption | Sim, com atualização e backup por sua conta |
| Quem constrói | Pessoa de negócio, com apoio técnico | Perfil mais técnico | Perfil intermediário |
| Integração com SharePoint, Outlook e Teams | Conectores nativos | Conectores nativos | Via API, com credencial armazenada por você |
| Amplitude de integrações fora do 365 | Boa, via conectores | Boa, via conectores | Maior catálogo dos três |
Preços lidos nas páginas oficiais da Microsoft em 31 de agosto de 2026. Power Automate ainda oferece os planos Process (US$ 150 por bot/mês) e Hosted Process (US$ 215 por bot/mês), voltados a automação de desktop não assistida.
O Power Automate aparece destacado por um motivo prático, não por superioridade técnica: para uma equipe pequena que já paga Microsoft 365 e precisa de automação sobre SharePoint, e-mail e planilha, ele resolve com o menor esforço de implantação e sem ninguém para manter servidor.
Uma ressalva honesta sobre o modelo por execução, porque ele tem pegadinha: a Microsoft documenta que o Logic Apps no plano Consumption cobra por execução de operação, inclusive as tentativas de repetição. Uma ação com cinco retentativas é cobrada como seis execuções, e um laço sobre uma lista de dez itens gera onze execuções. Fluxo mal desenhado fica caro mesmo sem servidor.
Quando o n8n continua sendo a resposta certa
Em muitos casos, e não é concessão de fim de artigo.
- Existe alguém com responsabilidade formal por atualizar e monitorar o ambiente
- O volume de execuções justifica pagar por uma máquina ligada
- O dado que trafega não é material não público nem informação de terceiro sob sigilo
- O catálogo de integrações resolve algo que os conectores nativos não resolvem
- Ou a opção gerenciada atende, transferindo a operação do servidor para a fabricante
Se você marcou os cinco, o self-hosted é uma escolha sólida e provavelmente mais barata. Se você não marcou o primeiro, a conta muda, porque o custo de manutenção não desaparece: ele só deixa de ser contabilizado, e reaparece como risco.
Vale registrar também um ponto que não é de segurança e sim de contrato: o n8n é distribuído sob a Sustainable Use License, uma licença fair-code, não uma licença open source aprovada pela OSI. Uso interno na sua empresa é permitido; revender n8n como serviço hospedado para terceiros, não. Para a maioria das empresas isso é irrelevante, mas quem pensa em oferecer automação como produto precisa ler a licença antes.
Quem aplica a correção na sexta-feira à noite?
Essa é a pergunta que decide, e não "qual ferramenta é melhor". Se uma falha crítica for divulgada numa sexta à noite, quem no seu time aplica a correção antes de segunda?
Se a resposta for um nome, self-hosted funciona. Se a resposta for silêncio, escolha um modelo em que essa tarefa não seja sua, seja a versão gerenciada da própria ferramenta ou um serviço por execução dentro do ambiente que você já contrata.
Fontes e método
Apuração de 31 de agosto de 2026. Os dados de vulnerabilidade vêm da API pública do NVD, consultada por palavra-chave "n8n": 172 registros brutos, filtrados para os 142 cujas descrições tratam do servidor n8n, excluindo o n8n-MCP e projetos de terceiros. As orientações sobre atualização e a licença vêm da documentação oficial do n8n. Preços e modelo de cobrança vêm das páginas oficiais da Microsoft para Power Automate e Azure Logic Apps. n8n e Microsoft são empresas externas à X-Apps e não têm relação comercial com este conteúdo. A X-Apps utiliza n8n em projetos próprios e de clientes.
Perguntas frequentes
Não é essa a conclusão. n8n publica e corrige as falhas encontradas, e a maioria delas exige um usuário já autenticado com permissão de editar workflow. O ponto é outro: no modo self-hosted, aplicar cada correção passa a ser responsabilidade sua.
Volume de CVE reflete adoção e atividade de divulgação, não só qualidade de código. Software popular recebe mais atenção de pesquisadores, e um programa ativo de divulgação publica mais. O que o número mede com precisão é quantas atualizações você precisou aplicar.
Resolve boa parte, porque a atualização e a operação do servidor passam a ser da n8n. Continua sendo uma decisão sobre onde o seu dado transita, que é uma pergunta diferente e igualmente importante.
Para automação dentro do Microsoft 365, normalmente sim, com conectores nativos e sem servidor para manter. Para integrações fora desse ecossistema, o catálogo de nós do n8n costuma ser mais amplo.
Significa que não existe uma máquina sua ligada esperando trabalho. O serviço executa quando é acionado e você paga pelo que rodou, o que elimina a superfície exposta continuamente e o custo fixo de ociosidade.
Quando o volume justifica, o dado não é crítico, existe alguém responsável por atualizar o ambiente e o catálogo de integrações do n8n resolve algo que os conectores nativos não resolvem.
Precisa automatizar sem abrir superfície de ataque?
Solicite um orçamento e desenhe a automação no modelo certo para o seu perfil de risco e de volume.
