ServiceNow sotto attacco via sandbox escape mentre 7-Zip corregge il decoder XZ

🛡️ Executive Summary

• CVE-2026-6875 consente RCE pre-auth nelle istanze ServiceNow self-hosted attraverso un sandbox escape già sfruttato attivamente.
• CVE-2026-14266 provoca scritture fuori dai limiti nel decoder XZ di 7-Zip durante l’apertura di archivi manipolati.
• Le organizzazioni devono aggiornare immediatamente ServiceNow e distribuire 7-Zip 26.02 o versioni successive sui sistemi esposti ad archivi esterni.

ServiceNow e 7-Zip hanno corretto due vulnerabilità con livelli di urgenza differenti ma potenziali conseguenze gravi. CVE-2026-6875, classificata con un punteggio CVSS 9.5, viene già sfruttata contro installazioni ServiceNow self-hosted per ottenere esecuzione di codice senza autenticazione. CVE-2026-14266 interessa invece il decoder XZ di 7-Zip e può provocare un heap-based buffer overflow durante l’apertura di archivi appositamente costruiti. Per la falla ServiceNow serve un intervento immediato, mentre l’aggiornamento di 7-Zip consente di chiudere preventivamente un possibile vettore destinato a phishing e distribuzione malware.

CVE-2026-6875 viene sfruttata contro ServiceNow self-hosted

Gli attacchi osservati prendono di mira l’endpoint pre-autenticazione /assessment_thanks.do, lo stesso sink coinvolto nella vulnerabilità di sandbox escape scoperta nella piattaforma ServiceNow. Una richiesta HTTP POST manipolata permette di introdurre codice all’interno del sistema di valutazione delle query e superare le restrizioni applicate agli input non fidati. Una volta completato l’escape, l’attaccante può eseguire codice nel contesto dell’istanza, leggere dati, alterare configurazioni e raggiungere i server proxy o MID Server collegati alla rete aziendale. Il rischio riprende quanto emerso nelle precedenti vulnerabilità ServiceNow capaci di esporre dati riservati, ma questa volta l’assenza di autenticazione e la conferma dello sfruttamento reale trasformano la falla in una priorità operativa. Le osservazioni in-the-wild indicano inoltre che gli aggressori non stanno semplicemente copiando la proof-of-concept pubblica: utilizzano una catena di gadget differente, segnale dell’esistenza di exploit sviluppati o adattati autonomamente. Questo riduce l’efficacia delle firme costruite soltanto sul codice dimostrativo e impone un rilevamento basato sul comportamento dell’endpoint, sulle anomalie di esecuzione e sulle modifiche inattese all’istanza.

Le patch ServiceNow devono essere applicate senza ritardi

ServiceNow ha distribuito a giugno 2026 le correzioni per le release Brazil, Australia, Zurich e Yokohama, intervenendo sul percorso che consentiva di uscire dal contesto protetto. L’azienda sta inoltre restringendo ulteriormente il codice ammesso nel sandbox, riducendo costrutti, funzioni e oggetti accessibili agli script derivati dagli input degli utenti. Le installazioni cloud gestite direttamente dal fornitore possono ricevere mitigazioni centralizzate, mentre gli ambienti self-hosted dipendono dai tempi di aggiornamento dell’organizzazione e risultano quindi più esposti. Gli amministratori devono verificare la release effettivamente installata, applicare le patch indicate per il proprio ramo e controllare eventuali richieste anomale verso assessment_thanks.do.

È necessario cercare creazioni di account privilegiati, accessi insoliti alle tabelle, modifiche agli Script Include e attività inattese sui MID Server. La vulnerabilità appartiene alla categoria delle RCE capaci di trasformare un endpoint applicativo nel controllo dell’ambiente, quindi la sola installazione della patch non basta quando esistono indizi di compromissione precedente. In quel caso occorre ruotare credenziali, token e segreti, verificare i collegamenti verso la rete interna e ricostruire le operazioni svolte dall’attaccante.

CVE-2026-14266 colpisce il decoder XZ di 7-Zip

La seconda vulnerabilità riguarda 7-Zip e risiede nella funzione MixCoder_Code del file C/XzDec.c. Durante la decodifica di un archivio XZ, il software passa al decoder la lunghezza complessiva del buffer di output anziché lo spazio ancora disponibile dopo le scritture già completate. In determinate condizioni, un archivio manipolato può quindi indurre il programma a scrivere oltre il limite allocato nell’heap, causando corruzione della memoria, crash e potenziale esecuzione di codice. CVE-2026-14266 ha un punteggio CVSS di 7.0 ed è classificata High. L’attacco richiede che la vittima apra o estragga un archivio XZ predisposto dall’aggressore, rendendo plausibili scenari basati su allegati email, download da siti compromessi o pacchetti distribuiti attraverso false pagine software. Il rischio è particolarmente rilevante perché 7-Zip è già stato sfruttato come richiamo in campagne basate su finti installer e false VPN usati per distribuire proxyware. In questo caso, però, il file malevolo non deve necessariamente sostituire il programma: può tentare di sfruttare direttamente il decoder installato sulla macchina.

7-Zip 26.02 corregge la gestione della memoria

Il difetto risulta presente nel codice almeno dalla versione 21.07 ed è stato corretto in 7-Zip 26.02, pubblicata il 25 giugno 2026. La patch sottrae correttamente dal buffer totale i byte già prodotti e interrompe la decodifica quando la dimensione richiesta supera lo spazio residuo. La stessa release include ulteriori correzioni memory-safety, rendendo l’aggiornamento consigliabile anche al di là della singola CVE. Al momento non risultano proof-of-concept pubbliche affidabili né campagne di sfruttamento confermate, ma la diffusione del software aumenta la probabilità che il problema venga analizzato dopo la divulgazione e incorporato in successive catene di infezione. Un precedente allarme relativo a CVE-2026-48095 in 7-Zip aveva già evidenziato quanto un componente di decompressione possa diventare un vettore efficace: gli archivi attraversano email, repository, workflow automatici e sistemi di analisi, spesso raggiungendo processi che operano senza un controllo diretto dell’utente. Su Windows, 7-Zip viene normalmente eseguito con un token standard filtrato, limitando i privilegi immediatamente ottenibili, ma l’attaccante può comunque accedere ai dati dell’utente, installare persistenza o concatenare la falla con una successiva escalation.

ServiceNow richiede priorità immediata, 7-Zip prevenzione estesa

Le due vulnerabilità devono essere gestite attraverso una priorità differenziata. CVE-2026-6875 presenta una combinazione critica di esecuzione pre-auth, accesso a una piattaforma enterprise e sfruttamento attivo: ogni istanza ServiceNow self-hosted non aggiornata deve essere considerata esposta e sottoposta anche a verifica forense. Per CVE-2026-14266, l’assenza di exploit pubblici offre un margine preventivo, ma la diffusione di 7-Zip e la facilità con cui un archivio può essere inserito in una campagna di spear-phishing giustificano una distribuzione rapida della versione 26.02. Le organizzazioni devono censire le copie installate, comprese quelle portabili o incluse in immagini software, tool amministrativi e processi automatici. I gateway email e i sistemi sandbox devono trattare gli archivi XZ non fidati con maggiore cautela, mentre gli endpoint ServiceNow devono essere monitorati per richieste anomale e attività applicative non coerenti. La priorità assoluta resta chiudere l’accesso già sfruttato su ServiceNow, senza lasciare che la minore urgenza operativa della falla 7-Zip si trasformi in esposizione futura.