ServiceNowのAIプラットフォームで最近修正された、深刻度の高いリモートコード実行の脆弱性が、実際の攻撃で悪用されているとの報告があります。
この脆弱性はCVE-2026-6875として追跡されており、特定の条件下で未認証の攻撃者がサンドボックスを脱出し、任意のコードを実行できる問題とされています。
ServiceNowは7月14日にパッチの提供を発表した際、この脆弱性に対処するセキュリティアップデートをホスト型インスタンスにはすでに展開済みだと説明しました。一方、セルフホスト型を利用する顧客は、自らパッチを適用する必要があります。
同日、サイバーセキュリティ企業のSearchlight Cyberは技術的な詳細を公開し、この脆弱性がどのように悪用され得るかを示しました。
脅威インテリジェンス企業のDefusedは7月18日、Searchlight Cyberが公開した情報を活用する形で、CVE-2026-6875が実際に悪用されているのを確認したと報告しました。
Defusedは当初、確認したエクスプロイトはSearchlightの概念実証(PoC)とは若干異なる手法を用いながらも、同じ結果に到達していると説明していました。しかし月曜日になって同社は訂正を発表し、詳しく分析した結果、捕捉したペイロードは実際にはSearchlight Cyber自身のものと同一だったと明らかにしました。
ServiceNowが当初発表したアドバイザリでは、悪用が確認された事実はないとしていました。本記事執筆時点でも、このアドバイザリはその内容から変更されていません。
「ServiceNowは、CVE-2026-6875として識別され、既に開示済みのセキュリティ脆弱性に関連する悪用活動について、あるサイバーセキュリティ企業が最近公表した内容を認識しています」と、ServiceNowの広報担当者はSecurityWeekに語りました。「これまでの調査では、この活動がServiceNowがホストするインスタンスに関連しているという証拠は確認されていません」
同担当者はさらに、「私たちはこの問題に対処するためのアップデートとパッチを提供しており、セルフホスト型・ServiceNowホスト型を問わず、まだ適用していない顧客には該当パッチの適用を推奨しています。加えて、パッチ適用に支援が必要な顧客とは引き続き直接連携していきます」と付け加えました。
CVE-2026-6875の悪用について言及した報告は、現時点で他に見当たらず、この活動はサイバーセキュリティ業界の関係者が脆弱なシステムを探索している一環である可能性もあります。
ServiceNowは先月、悪用された脆弱性について顧客に通知していましたが、その後同社はこの悪用がセキュリティ研究者によるものであり、攻撃者によるものではなかったと説明しています。
ServiceNowの脆弱性が脅威アクターに悪用されるケースはこれまで多くありません。CISAのKEVカタログに現在登録されているServiceNow関連の脆弱性はわずか2件で、いずれも2024年に修正済みです。
翻訳元: https://www.securityweek.com/exploitation-of-servicenow-vulnerability-seen-days-after-disclosure/
