ServiceNow публикува актуализации за сигурност за пет дефекта в своята AI Platform, включително две критични уязвимости, които биха могли да позволят на неавтентифициран атакуващ да получи достъп, да модифицира или да извлече чувствителни данни от инстанцията. Компанията призовава потребителите, използващи собствен хостинг (self-hosted), да проверят версиите си и незабавно да инсталират корекции за сигурност.
Бюлетинът за сигурност на ServiceNow обхваща CVE-2026-86857, CVE-2026-86858, CVE-2026-13016, CVE-2026-86859 и CVE-2026-86860, установени чрез вътрешни тестове, оценки от клиенти, отговорно разкриване на уязвимости и програмата за възнаграждаване при откриване на грешки (bug bounty).
Компанията заяви, че не е открила доказателства за това злонамерени субекти да са експлоатирали уязвимостите в реални условия. Въпреки това техническото въздействие на проблемите прави бързото отстраняване на уязвимостите от изключителна важност, особено за инстанции, изложени на интернет или свързани с чувствителни корпоративни работни процеси и данни.
Най-сериозната уязвимост, CVE-2026-13016, е оценена като критична и засяга ServiceNow AI Platform. Уязвимостта представлява SQL инжекция (SQL injection), която би могла да позволи на неавтентифициран атакуващ при определени обстоятелства да изпълнява произволни SQL команди към базата данни на засегнатата инстанция.
Успешното експлоатиране би могло да позволи на атакуващ да чете, променя или потенциално да манипулира данни, съхранявани в инстанцията на ServiceNow. Това би създало сериозни рискове за организации, които използват ServiceNow за управление на ИТ услуги, инциденти със сигурността, молби на служители, записи за активи, информация за клиенти и вътрешни бизнес процеси.
CVE-2026-86860 също е оценена като критична. Тя представлява уязвимост, свързана с липса на оторизация, която би могла да позволи на неавтентифициран киберпрестъпник да извлече данни от инстанцията извън предвидените контроли за достъп.
Уязвимости в ServiceNow
От ServiceNow предупреждават, че експлоатацията може да доведе до ескалация на привилегии, позволявайки на атакуващите да придобият нива на достъп или права върху данни, които не би следвало да притежават.
Бюлетинът KB3159623 от септември 2026 г. описва подробно още три уязвимости с висока степен на опасност, свързани със слабости в оторизацията и контрола на достъпа.
CVE-2026-86857 е пропуск в оторизацията, който би могъл да позволи на автентифициран потребител достъп до данни в ServiceNow AI Platform, които той няма право да преглежда. Това би могло да доведе до последващ неоторизиран достъп в засегнатата среда.
CVE-2026-86858 е проблем с неправилен контрол на достъпа. При определени условия неавтентифициран атакуващ би могъл да създава, променя или изтрива данни в инстанцията извън предвидените разрешения. Подобна активност би могла да прекъсне работните процеси, да промени записи или да засегне целостта на данните за сигурността и оперативната дейност.
CVE-2026-86859 е друга уязвимост за заобикаляне на оторизацията. За разлика от CVE-2026-86857, този дефект би могъл да позволи на неавтентифициран злонамерен субект да получи достъп до данни в ServiceNow AI Platform, които трябва да бъдат ограничени.
От ServiceNow заявяват, че клиентите, записани в тяхната програма за актуализации от август (August Patching Program), вече са получили съответните корекции. Клиентите с автономно хоствани системи (self-hosted) трябва незабавно да извършат обновяване или да приложат корекциите за сигурност. Коригираните версии включват Yokohama Patch 13 Hot Fix 5a, Zurich Patch 10 Hot Fix 4a W32 и Australia Patch 2 Hot Fix 4b W32.
Допълнителните коригирани версии включват Zurich Patch 10 Hot Fix 3b, Zurich Patch 11 Hot Fix 3, Australia Patch 4 Hot Fix 3 и Australia Patch 5.
Организациите трябва да потвърдят внедрената от тях версия, да прегледат администраторския достъп и да следят за необичайни заявки към базата данни, неочаквани промени в данните или опити за неоторизиран достъп след инсталирането на корекциите за сигурност.