Un rapport de Censys révèle 114 000 instances n8n exposées avec des vulnérabilités critiques

Censys a publié son cinquième rapport annuel « State of the Internet » le 14 octobre 2026, mettant en évidence un écart de sécurité significatif dans les outils d'automatisation auto-hébergés. L'analyse a identifié environ 113 926 instances n8n publiquement exposées, ce qui en fait le produit lié à l'IA le plus largement exposé sur Internet. Plus préoccupant encore : parmi celles dont la version était détectable, 76 % utilisaient un logiciel vulnérable à au moins une faille critique récente.

Ce qui s'est passé

Le Censys Advanced Research Collective a analysé la carte Internet de Censys pour suivre la croissance des infrastructures IA exposées. Entre octobre 2025 et juillet 2026, cette catégorie a augmenté de 63 %, atteignant près de 268 000 systèmes. Il ne s'agit pas simplement de chatbots publics, mais d'outils backend qui connectent les modèles d'intelligence artificielle aux données privées, aux applications et aux comptes utilisateurs. n8n arrive en tête de liste avec environ 114 000 hôtes exposés, suivi par OpenClaw, un assistant personnel d'agent IA, avec environ 54 000 hôtes.

Géographiquement, les États-Unis, la Chine et l'Allemagne hébergent la majorité de ces systèmes exposés, représentant un peu plus de la moitié du total. Le rapport souligne que l'exposition seule est risquée, mais que la combinaison d'une accessibilité publique et d'un logiciel non corrigé crée un danger immédiat. Les scanners automatisés n'ont pas besoin d'intervention humaine pour trouver ces instances ; ils sondent continuellement l'ensemble d'Internet, cataloguant tout service répondant sur une adresse IP publique.

Une constatation secondaire remet en cause une idée reçue courante sur la sécurité réseau. Le rapport note que 68 % des services HTTP exposés et 34 % des services SSH fonctionnaient sur des ports non standards. Cela indique que changer les numéros de port par défaut n'offre aucune protection significative contre le balayage à grande échelle. Les attaquants et les chercheurs énumèrent tous les 65 535 ports, ce qui signifie que l'obscurité n'est pas une stratégie de défense viable.

Détails clés

• Échelle de l'exposition : n8n est le produit IA le plus exposé avec ~114 000 hôtes publics, devançant largement l'outil classé deuxième.
• Taux de vulnérabilité : 76 % des instances n8n dont la version était analysable utilisaient un logiciel affecté par au moins une vulnérabilité critique récente.
• Répartition géographique : Les États-Unis (62 687), la Chine (42 511) et l'Allemagne (31 222) détiennent les plus grandes parts de l'infrastructure IA exposée.
• Mythe des ports démystifié : La plupart des services exposés utilisent des ports non standards, prouvant que le changement de port ne masque pas les services des scanners Internet à grande échelle.
• Contexte plus large : Le rapport a également trouvé 134 000 systèmes de contrôle industriel exposés, dont 70 % situés sur des réseaux grand public ou mobiles.
• Tendance de croissance : L'infrastructure IA exposée a augmenté de 63 % en seulement neuf mois, signalant une expansion rapide de la surface d'attaque.

Contexte

n8n est un outil populaire d'automatisation de workflows qui permet aux utilisateurs de connecter diverses applications et services sans écrire beaucoup de code. Bien que n8n propose une version hébergée sur le cloud, de nombreuses organisations et particuliers choisissent d'auto-héberger le logiciel sur leurs propres serveurs via Docker, npm ou des serveurs privés virtuels. L'auto-hébergement offre un meilleur contrôle des données et de la personnalisation, mais transfère entièrement la responsabilité de la sécurité à l'opérateur.

Lorsqu'une instance auto-hébergée est « exposée », cela signifie que le serveur est configuré pour accepter les connexions depuis Internet public. Si l'authentification est absente ou faible, n'importe qui peut accéder à l'éditeur de workflow, voir les identifiants stockés et exécuter des automatisations. Même avec une authentification, l'exécution d'un logiciel obsolète laisse le système ouvert aux exploits connus. Censys fonctionne en scannant continuellement l'espace d'adresses IPv4 entier, enregistrant quels ports sont ouverts et quels services répondent, fournissant ainsi une carte en temps réel des actifs orientés vers Internet.

Pourquoi c'est important

Pour les équipes qui gèrent leur propre logiciel, ce rapport sert de rappel sévère que les configurations par défaut sont rarement assez sûres pour un déploiement public. Le pourcentage élevé d'instances vulnérables suggère que de nombreux opérateurs déploient n8n puis oublient de le maintenir. Dans un environnement auto-hébergé, aucun fournisseur n'applique automatiquement les correctifs de sécurité. Si votre instance contient des clés API pour des services comme Gmail, Stripe ou GitHub, un attaquant qui y accède peut compromettre ces comptes externes également.

La prévalence des ports non standards parmi les services exposés indique une dépendance généralisée à la sécurité par obscurité. Les ingénieurs changent souvent les ports par défaut en croyant masquer leurs services des attaquants occasionnels. Cependant, les bots automatisés scannent chaque port systématiquement. Se fier à cette tactique donne un faux sentiment de sécurité tout en laissant l'application sous-jacente vulnérable à l'exploitation si une faille critique est découverte.

De plus, la croissance rapide de 63 % de l'infrastructure IA exposée met en lumière une surface d'attaque en expansion. À mesure que davantage d'entreprises intègrent des outils IA dans leurs workflows internes, le nombre de points d'entrée potentiels pour les attaquants augmente. Sans pratiques rigoureuses de durcissement, ces outils deviennent des proies faciles pour les attaques automatisées. Le risque n'est pas théorique ; c'est une tendance mesurable et croissante qui affecte des milliers d'organisations dans le monde.

Ce que vous pouvez faire

• Vérifiez l'exposition immédiatement : Utilisez la recherche Censys ou exécutez une commande curl depuis un réseau externe pour vérifier si votre instance n8n est accessible publiquement.
• Appliquez l'authentification : Assurez-vous que l'auth basique ou un autre mécanisme de connexion est actif et forcez les utilisateurs à s'authentifier avant d'accéder à l'éditeur.
• Implémentez TLS et reverse proxy : Utilisez un outil comme Caddy ou Nginx pour gérer les certificats SSL et terminer le trafic HTTPS avant qu'il n'atteigne votre application.
• Corrigez régulièrement : Vérifiez votre version actuelle par rapport à la dernière sortie et mettez à jour immédiatement, surtout si vous exécutez une version antérieure à octobre 2026.
• Restreignez l'accès réseau : Utilisez des pare-feu pour bloquer l'accès direct au port de l'application, autorisant uniquement le trafic via le reverse proxy ou via un VPN.
• Planifiez des audits récurrents : Définissez un rappel dans votre calendrier pour revérifier votre statut d'exposition et votre niveau de correction trimestriellement, car de nouvelles vulnérabilités émergent fréquemment.