Um levantamento divulgado pela Censys encontrou 113.926 hosts com n8n exposto à internet. O número chama atenção, mas não significa que 114 mil sistemas tenham sido invadidos. Para entender o alerta, é preciso separar três situações diferentes: um serviço ser visível na internet, estar vulnerável e ter sido comprometido.
O dado faz parte do relatório anual State of the Internet, publicado pela Censys em 14 de outubro de 2026. A empresa comparou observações feitas entre outubro de 2025 e julho de 2026 e registrou crescimento superior a 63% nos hosts que expunham ferramentas relacionadas à inteligência artificial. O n8n foi o produto mais identificado nessa categoria, com 113.926 hosts. A Censys descreve o resultado em seu relatório.
Esse número é uma observação da infraestrutura visível à Censys, não uma contagem atual de usuários nem um retrato específico do Brasil. No resumo público consultado, a empresa não apresenta um recorte brasileiro para os hosts com n8n.
Estar exposto não confirma uma invasão
“Exposto” indica que um host associado ao n8n foi identificado na internet pública. Isso não confirma, por si só, que o painel de administração esteja aberto sem senha, que uma vulnerabilidade possa ser explorada naquele ambiente ou que alguém tenha obtido acesso.
A própria Censys faz essa ressalva. O relatório também diz que, entre os hosts de n8n com versão identificável, 76% apresentavam versões dentro da faixa afetada por pelo menos uma vulnerabilidade crítica recente. Esse percentual se refere a versões observadas e comparadas com faixas de versões vulneráveis. Não é uma taxa de invasões, nem prova que os sistemas tenham sido explorados.
O cuidado importa porque uma ferramenta de automação pode conectar e-mail, arquivos, bancos de dados e outros serviços. Dependendo das permissões concedidas e dos fluxos configurados, uma conta comprometida poderia dar acesso a mais do que o painel da ferramenta. Isso é um risco possível, não um resultado comprovado pelo levantamento da Censys.
O que revisar na sua automação
Quem administra uma instalação própria deve começar verificando se o painel de administração está acessível somente a pessoas autorizadas. Um webhook, usado para receber solicitações de outros serviços, pode precisar estar acessível externamente; isso não significa que o painel inteiro também precise ficar aberto. Cada endereço público deve ter uma finalidade clara e proteção adequada ao tipo de dado ou ação que recebe.
Também vale conferir a versão instalada e acompanhar os avisos oficiais de segurança do n8n. As falhas corrigidas podem afetar faixas diferentes de versões e configurações. Por isso, o alerta da Censys não substitui a consulta ao histórico oficial de avisos nem a verificação da versão de uma instalação específica. O projeto publica esses avisos no GitHub.
A documentação do n8n descreve uma auditoria que aponta, entre outros itens, webhooks sem proteção, credenciais não utilizadas, configurações de risco e instalações desatualizadas. Para quem hospeda a ferramenta, esse relatório pode ajudar a encontrar pontos que merecem revisão.
Por fim, é prudente revisar quais contas e credenciais foram conectadas aos fluxos e retirar acessos que já não são necessários. Em uma instalação própria, a comunicação também deve usar HTTPS. O n8n recomenda configurar TLS por meio de um proxy reverso, que pode cuidar dos certificados e de sua renovação.
Para quem usa uma versão hospedada por terceiros, o número global da Censys não permite concluir que uma conta específica esteja vulnerável. Ainda faz sentido revisar permissões, credenciais e os endereços públicos criados pelo próprio usuário. Já a infraestrutura do serviço fica sob responsabilidade do fornecedor.
O levantamento oferece um sinal de atenção sobre ferramentas que conectam serviços e podem guardar credenciais. Não diagnostica a instalação de cada usuário. A pergunta útil para quem usa automação é mais direta: quais partes estão acessíveis pela internet, que permissões os fluxos receberam e a versão instalada já inclui as correções recomendadas?