懸念されているのはこの脆弱性の悪用そのものにとどまらず、AI時代においてサンドボックス全般に十分なセキュリティが備わっていないという点です。
先週ServiceNowが修正を公開した、リモートコード実行(RCE)につながりかねないサンドボックスの脆弱性が、実環境で積極的に悪用されていることが、脅威インテリジェンス企業Defusedのレポートで明らかになりました。
X(旧Twitter)に投稿されたこのレポートでは、「ServiceNowの認証前サンドボックス脱出型RCE(CVE-2026-6875)が実環境で悪用されているのを確認している」としています。
Defused社のCEOであるSimo Kohonen氏はCSO Onlineの取材に対し、ServiceNowによるパッチや防御策への対応として、攻撃者がSearchlight Cyberの研究者による初期の概念実証(PoC)で確認されていた手口から戦術を変えているようだと指摘しました。同社はコードベースに5つの異なる緩和策を実装しており、これによって当初の攻撃手法は「無力化」されたとKohonen氏は述べています。さらに、全体として同社のチームが目にする攻撃手法の調整は以前より増えているとも付け加えました。
「1年前に比べて、同じ脆弱性に対する[攻撃の]バリエーションがはるかに多く見られるようになっています」とKohonen氏は述べています。攻撃者は「独自の攻撃手法を構築するためのツールをより多く手にしています」。
ただし同氏は、自身のチームがこれまでにこの脆弱性の実環境での悪用を確認したのは「1件、1つの攻撃者グループによるものだけ」だと認めています。
このレポートを受けて、ServiceNowは声明を発表し、そうした悪用を自社では直接確認していないとしています。
「ServiceNowは、既に開示済みのセキュリティ脆弱性であるCVE-2026-6875に関連する悪用活動について、あるサイバーセキュリティ企業が最近公表した内容を把握しています。これまでの調査に基づく限り、この活動がServiceNowがホストするインスタンスに関連しているという証拠は確認できていません」とメールでの声明は述べています。「弊社はこの問題に対応するためのアップデートおよびパッチを提供しており、自社ホスト型およびServiceNowホスト型のお客様に対し、まだ適用されていない場合は該当パッチの適用をお勧めします」
「繰り返し起こりうる破綻点」
アナリストやコンサルタントたちは、この脆弱性でより懸念すべきなのは、多くのセキュリティ・IT担当チームが長年頼りにしてきたサンドボックスに保護が欠けている点に焦点が当たっていることだと指摘しています。
IDCのセキュリティ担当グループ副社長を務めるFrank Dickson氏は、「この脆弱性は、攻撃者がServiceNowのスクリプティングサンドボックスを完全に迂回することを可能にするものです。研究者たちは現在、当初公開されたものとは異なる手法での悪用を確認しており、これは最初のPoCをもとに構築されたシグネチャベースの防御では、すべての亜種を捕捉できない可能性が高いことを意味します」と述べています。
「クラウドテナント内で始まった侵害が、社内ネットワークにまで及ぶこともあり得ます。SaaSでのインシデントがオンプレミスのインシデントへと転じてしまうのです」と同氏は指摘します。「そしてServiceNowにはしばしば人事(HR)記録、CMDB資産データ、さらにはチケッティングシステム自体が保管されているため、その内部に侵入した攻撃者は、インシデント対応チームがどのようにインシデントを追跡しているかまで把握できてしまう可能性があります」
Dickson氏はさらに、この事案はITチームとセキュリティチームの双方がパッチ適用の手法を見直す必要があることを改めて示すものだと付け加えました。
「企業はServiceNowのようなプラットフォームのパッチ適用をベンダーに委託していますが、それらのプラットフォームが触れるものから生じるリスク――HR記録、CMDBの資産情報、そしてMIDサーバー連携を通じたオンプレミスシステムへのリスクまで――は自社で抱え込むことになります。管理権限はベンダー側にあり、責任は企業側にある。このミスマッチこそが、中核となるSaaSプラットフォームを外部化されたベンダーリスクとしてではなく、社内の攻撃対象領域の一部として扱うべき理由です」と同氏は述べ、ベンダーが自社プラットフォームにAI駆動型のスクリプティング機能を組み込む動きを強めるにつれて、サンドボックスの境界が「繰り返し起こりうる破綻点」になりつつあると指摘しました。
このため同氏は、「CISOたちは、この種の話が別の場所で次のバージョンとして表面化する前に、AI対応のSaaSベンダー各社に対して、その境界がどのように設計・検証されているのかを問い質すべきです」と助言しています。
Digital 520のプリンシパルコンサルタントを務めるNoah Kenney氏は、サンドボックス脱出こそがこの問題のより深刻な要素だと述べています。
「重要なのは、ServiceNowに重大なバグがあったこと自体ではなく、そのバグがAI Platformにおけるサンドボックス脱出であるという点です。つまり、信頼できないAI駆動型コードを安全に実行するために特別に構築された封じ込め層そのものが破綻してしまったということです」と同氏は述べています。「CISOたちはこれまで、サンドボックスこそがエンタープライズAIの導入を安全にするものだと繰り返し聞かされてきました。しかし今、そのサンドボックスが破られる事態を目の当たりにしており、CISOは同様の壁の内側にあるあらゆる機能に対する考え方を見直すべきです」
AIの追加が被害範囲を拡大
これは、AIがITとセキュリティのほぼあらゆるルールを根本から変えつつあることを示す、また一つの事例だと同氏は指摘します。
「企業は、それらのシステムの脅威モデルを誰も更新しないまま、最も権限の強い基幹システムに次々とAIを組み込んでいます。その結果、AI層が最も強固な標的の中で最も脆弱な部分になりつつあります」とKenney氏は述べています。「CISOにとって本当に問うべき問いは、過去1年間で自社の基幹プラットフォームのうちいくつがAI機能を追加したか、そして、それが認証前の攻撃対象領域にどのような影響を与えたのかを社内の誰か一人でも説明できるか、ということです。ほとんどの企業ではそれができておらず、それこそが実際のリスクなのです」
ニューヨークを拠点とする技術コンサルティング企業Tribeca Softtechの最高戦略責任者(CSO)を務めるAman Mahapatra氏も同様の見解を示しています。
「攻撃者にServiceNowインスタンスへの足がかりを与える脆弱性は、今や、そのインスタンス内で稼働するあらゆるAIエージェント、さらにそれらのエージェントが保持する各種の権限トークンやサービスアカウント、委任された権限へのアクセスをも与える脆弱性でもあるのです」とMahapatra氏は述べています。「2026年におけるServiceNowの侵害による被害範囲は、2023年に同じ侵害が起きていた場合と比べて、意味のある形でずっと大きくなっています。そして、企業のセキュリティプログラムの多くは、この変化に追いついていません」
Defused社のKohonen氏は、サンドボックスに関するこうした懸念に異論はないとしながらも、企業のCISOたちはとうの昔にサンドボックスが安全だという思い込みを捨てているはずだと強調しました。
「完璧なものなど存在しません。それでも、サンドボックスがあることは、ないことよりはましです」と同氏は述べています。「しかし、サンドボックスさえあればリスクがすべて取り除かれるという思い込みは、とんでもなく愚かなことです」。特に、「エクスプロイトが絶え間なく供給され続ける」今日の脅威情勢の現実の中では、なおさらだといいます。
