"Anh ơi, bản n8n mới vừa ra hôm qua, em có nên bấm cập nhật ngay cho luồng chốt đơn không anh?"

Câu hỏi này nhắn vào nhóm n8n Việt hôm qua, sau khi n8n chính thức phát hành bản 2.46.2 ngày 29/10/2026. Đây là bản cập nhật lớn đầu tiên trong tháng 10, sau bản vá bảo mật 14/10 (2.43.5) đã vá 8 lỗ hổng, trong đó 5 mức High.

Với SME tự host n8n trên máy chủ riêng, cập nhật công cụ không chỉ là bấm nút rồi xong. Lần trước, nhiều anh em đã lên nhánh beta hoặc bỏ qua bước rà lại quyền, dẫn đến luồng đơn bị gián đoạn. Lần này, trước khi bấm cập nhật cho hệ thống chạy thật, có ba việc cần làm theo thứ tự.

Nỗi đau bằng số: bản vá 14/10 ghi nhận 8 lỗ hổng, 5 mức High, tập trung ở Stored XSS trong phản hồi webhook, truy cập chéo dữ liệu giữa các dự án, và lộ thông tin kết nối trong log thực thi. Nếu bạn đang chạy bản 2.43.x hoặc cũ hơn, luồng chốt đơn và dữ liệu khách hàng có thể đang hở mà bạn chưa hay biết.

Nguyên nhân thật thường không phải do n8n "bản lỗi", mà là thiếu một lớp trong quy trình cập nhật: không kiểm tra phiên bản hiện tại, không rà lại quyền MCP sau khi nâng, và không xem lại báo cáo di trú trước khi đưa luồng chạy thật.

Ba việc cần làm:

1. Nâng đúng nhánh đã vá, không chạy beta Kiểm tra phiên bản đang chạy bằng n8n --version hoặc trang About trong giao diện quản trị. Bản 2.x thì lên 2.46.2 trở lên. Không dùng bản beta cho hệ thống đang chạy thật. Với Docker, kéo image mới, dựng lại container, giữ nguyên volume dữ liệu.

2. Rà lại quyền MCP và node agent mới Sau khi nâng, vào phần quản lý quyền và kiểm tra xem quyền MCP được cấp cho node nào, dịch vụ nào có thể kết nối. Bản tháng 10 bổ sung công cụ agent/workflow và cải thiện quyền MCP — nếu không rà lại, một node có thể nhận quyền quá nhiều so với cần thiết.

3. Xem báo cáo di trú trước khi chạy thật Bản cập nhật tháng 10 có cải tiến báo cáo di trú. Mở báo cáo này, kiểm tra các lần chạy gần đây có lỗi, xem log có lưu thông tin nhạy cảm không. Xoá bản ghi lỗi cũ, đổi lại các API key đã lộ nếu cần.

Sơ đồ luồng kiểm tra mình đang áp dụng: • Ghi lại phiên bản đang chạy và xuất JSON toàn bộ workflow làm bản lưu • Chạy n8n --version, đối chiếu với bản 2.46.2 • Nâng image Docker, dựng lại container, giữ nguyên volume • Rà lại quyền MCP, chặn kết nối dịch vụ không cần thiết • Xem báo cáo di trú, xoá log lỗi cũ, đổi key đã lộ • Chạy thử một luồng đơn trong 24 giờ trước khi mở cho tất cả khách

Kết quả thực tế sau khi áp dụng cho hệ thống chạy n8n tự host: • Thời gian cập nhật an toàn: từ vài giờ nghiên cứu bằng cách thử sai xuống còn dưới 30 phút, nhờ có bản JSON lưu sẵn • Số dịch vụ kết nối qua MCP cần rà lại: từ rất nhiều xuống còn chỉ những dịch vụ thật sự dùng • Số lần lộ thông tin kết nối trong log thực thi: từ vài chục lần trong tháng xuống còn 0

Câu đúc kết: bản cập nhật mới là cơ hội tốt, nhưng chỉ bấm nút cập nhật chưa đủ — phải rà quyền và dọn log mới thật sự đóng được lỗ hổng.

Chi tiết checklist 3 việc sau bản cập nhật 29/10 và mẫu lệnh kiểm tra phiên bản mình để tại link Blog dưới phần bình luận nhé!

Bạn đã cập nhật n8n lên 2.46.2 chưa, và đang dùng quyền MCP cho dịch vụ nào trong luồng chốt đơn?

Bình luận

Nhận checklist 3 việc sau bản cập nhật n8n 29/10 và mẫu lệnh kiểm tra phiên bản: https://tyauto.name.vn/posts/2026-10-30-personal-feed-n8n-2462-thang-10-3-viec-phai-biet.html