ServiceNow corregge tre falle critiche: code injection, SQL injection e privilegi

🛡️ Executive Summary

• ServiceNow corregge tre vulnerabilità con punteggio CVSS 10.0 nella propria AI Platform.
• Le falle permettono code injection, escalation dei privilegi e accesso o modifica dei dati tramite SQL injection.
• Gli attacchi non richiedono autenticazione né interazione dell’utente; ServiceNow non segnala al momento sfruttamento attivo.

ServiceNow ha corretto tre vulnerabilità di severità massima nella propria AI Platform, tutte sfruttabili da remoto senza autenticazione, senza interazione dell’utente e con bassa complessità. Le falle sono identificate come CVE-2026-18885, CVE-2026-18886 e CVE-2026-74820 e consentono rispettivamente esecuzione di codice, escalation dei privilegi e SQL injection con accesso o modifica dei dati dell’istanza. Il vendor ha già applicato le correzioni alla piattaforma cloud e invita le organizzazioni che utilizzano installazioni self-hosted a verificare immediatamente il livello di patch. ServiceNow dichiara di non essere attualmente a conoscenza di sfruttamento malevolo delle tre nuove CVE.

Tre vulnerabilità da 10.0 colpiscono la ServiceNow AI Platform

Le tre falle interessano la ServiceNow AI Platform, precedentemente conosciuta come Now Platform, utilizzata per orchestrare workflow enterprise, IT service management, sicurezza, risorse umane e automazione interna. CVE-2026-18885 è una code injection che può portare all’esecuzione di codice arbitrario, mentre CVE-2026-18886 sfrutta una seconda debolezza di code injection per aumentare i privilegi dell’attaccante. CVE-2026-74820 consente invece una SQL injection attraverso la quale un aggressore può accedere o modificare informazioni contenute nell’istanza. L’aspetto più rilevante è il vettore: tutte e tre possono essere sfruttate da un attaccante non autenticato attraverso operazioni considerate a bassa complessità. Per una piattaforma che concentra workflow e dati aziendali, l’assenza di prerequisiti eleva immediatamente il rischio, soprattutto sulle istanze direttamente raggiungibili da Internet. Il nuovo bollettino arriva appena due mesi dopo l’incidente ServiceNow legato a un endpoint API che consentiva query senza autenticazione sui dati dei clienti, mostrando quanto il controllo degli accessi alle superfici applicative della piattaforma resti un elemento prioritario.

Leggi anche: ServiceNow espone i dati attraverso API non autenticate mentre ShinyHunters colpisce PeopleSoft

ServiceNow distribuisce gli hotfix alle release supportate

ServiceNow ha applicato direttamente le correzioni alle proprie istanze cloud e pubblicato aggiornamenti per le release Xanadu, Yokohama, Zurich e Australia. Tra le versioni corrette figurano Xanadu Patch 11 Hot Fix 7a, diverse build Yokohama, Zurich Patch 10 Hot Fix 3 e le release più recenti Australia. L’azienda mantiene una pagina ufficiale con patch e hotfix disponibili, mentre le note di sicurezza più dettagliate per i clienti sono distribuite attraverso il portale di supporto. Gli amministratori delle installazioni self-hosted devono quindi verificare di non trovarsi su una build precedente a quella indicata per la propria famiglia e programmare l’aggiornamento senza attendere una finestra ordinaria di manutenzione. La priorità deriva soprattutto dalla possibilità di sfruttamento pre-auth: una piattaforma enterprise esposta non aggiornata può essere scandagliata automaticamente senza necessità di credenziali valide.

Una quarta falla consente sandbox escape e RCE agli utenti con privilegi bassi

Nello stesso ciclo di sicurezza ServiceNow ha corretto anche CVE-2026-6876, vulnerabilità classificata high severity che interessa la sandbox della stessa piattaforma. In questo caso l’attaccante deve già possedere privilegi di base, ma può sfruttare il difetto per evadere dalla sandbox e arrivare all’esecuzione di codice remoto sul sistema bersaglio. La presenza contemporanea di vulnerabilità pre-auth e di una sandbox escape aumenta il valore dell’aggiornamento, perché permette agli amministratori di chiudere più percorsi di compromissione con lo stesso ciclo di patch. Lo scenario ricorda altre piattaforme enterprise nelle quali una prima vulnerabilità concede l’accesso e una seconda permette di aumentare l’impatto: a luglio VMware aveva corretto due falle pre-auth di vCenter e una VM escape capace di raggiungere l’host, mostrando quanto questi concatenamenti siano pericolosi negli ambienti centrali di gestione.

ServiceNow arriva da mesi di vulnerabilità e accessi non autorizzati

Il nuovo bollettino non nasce in un vuoto operativo. Nel 2024 tre vulnerabilità ServiceNow — CVE-2024-4879, CVE-2024-5178 e CVE-2024-5217 — erano state concatenate in attacchi contro aziende private ed enti governativi, con furto di dati dalle istanze compromesse. Nel luglio 2026 è poi emersa CVE-2026-6875, una precedente sandbox escape pre-auth segnalata come sfruttata attivamente. A giugno, inoltre, ServiceNow aveva già dovuto intervenire su un endpoint API vulnerabile che permetteva interrogazioni non autenticate sui dati di alcune istanze clienti. La piattaforma è quindi diventata un obiettivo particolarmente interessante perché concentra informazioni e workflow provenienti da numerose funzioni aziendali. Anche il passaggio verso workflow AI amplia la superficie applicativa: già nel 2025 una prompt injection tra agenti AI di ServiceNow aveva mostrato come l’automazione introducesse nuovi percorsi di abuso.

Continua con:

• ShinyHunters e ServiceNow: API non autenticate espongono dati delle istanze
• Ruflo e VMware mostrano il rischio delle piattaforme enterprise con privilegi elevati

Le istanze self-hosted devono essere aggiornate subito

ServiceNow afferma di non essere attualmente a conoscenza di sfruttamento malevolo delle tre nuove vulnerabilità, ma il profilo tecnico non lascia molto margine per ritardare. Tre falle da CVSS 10.0, sfruttabili senza autenticazione e senza interazione dell’utente, rappresentano un bersaglio naturale per attività di scanning e sviluppo rapido di exploit dopo la pubblicazione degli advisory. Le organizzazioni devono quindi verificare la versione installata, applicare gli hotfix previsti per Xanadu, Yokohama, Zurich o Australia e controllare log e attività anomale sulle istanze esposte. La priorità è particolarmente alta negli ambienti nei quali ServiceNow gestisce identità, ticket di sicurezza, asset, workflow amministrativi o informazioni sensibili, perché una compromissione della piattaforma può trasformarsi rapidamente da vulnerabilità applicativa a problema trasversale per l’intera organizzazione.