ServiceNowの重大なRCE脆弱性、悪用が確認される

認証不要で侵害される重大な欠陥

ハッカーたちが、ServiceNowの重大なRCE脆弱性を悪用して企業システムへの侵入を始めています。この深刻な欠陥により、攻撃者はアカウントなしでサーバーに侵入し、任意のコードを実行できてしまいます。セキュリティ企業Defusedの専門家は、CVE-2026-6875(深刻度9.5、Critical)を悪用する最初の試みを7月17日に確認しました。脅威アクターは、一般公開されている/assessment_thanks.doページに対して、綿密に作り込んだリクエストを送信しました。その結果、ServiceNowのサンドボックスを回避し、悪意あるコマンドの実行に成功していました。

発見と協調的なパッチ適用

この重大な欠陥を最初に発見したのはSearchlight Cyberです。同社は2026年4月1日、この問題を開発元に責任を持って報告しました。詳しい技術分析はsmashing the ServiceNow sandboxで確認できます。ServiceNowはわずか24時間以内にクラウドインフラの強化に着手し、その後包括的なパッチを開発しました。セルフホスト型の企業サーバー向けアップデートは7月13日に正式リリースされています。

GlideRecordの仕組みを悪用

問題の核心は、GlideRecordクエリの仕組みにあります。ServiceNowはこのフレームワークを使って内部データベーステーブルとやり取りしています。一部のWebページは、未認証ユーザーからのデータを不用意にこのクエリへ渡していました。プラットフォームはクエリパラメータ内でのスクリプト実行を許可していたものの、その動作は厳格に制限されたサンドボックス環境に閉じ込められていました。

サンドボックスからの脱出

攻撃者にとって幸運なことに、研究者たちはこのサンドボックスを脱出する巧妙な手法を編み出しました。彼らはいくつかの組み込みJavaScript関数を操作しました。続いて、これらの改変済みオブジェクトを含む中核システムライブラリをServiceNowに読み込ませました。その結果、防御機構は意図せず攻撃者のコードを内包した関数を生成してしまい、そのコードは本来の制約から完全に解き放たれた状態で実行されました。

連鎖的なネットワーク侵害

侵害に成功した攻撃者は、内部テーブルから機密データをやすやすと抜き出せます。さらに、管理者アカウントを偽造したり、接続済みのMIDサーバーを乗っ取ったりすることも可能です。こうした中継サーバーは、企業ネットワークの奥深くに設置されていることが多く、ServiceNowと組織内のローカルシステムをつなぐ役割を担っています。つまり、この単一の脆弱性一つで、広範な社内リソースへの無制限アクセスへの扉が開かれてしまう恐れがあります。

Defusedの報告によると、現在確認されている実際の攻撃は、Searchlight Cyberが詳細を公表したものと同一の公開エンドポイントを悪用しています。しかし、これらの脅威アクターはまったく異なる手法でサンドボックスを回避しています。この新たな亜種の詳細については、現時点では明らかになっていません。

公式対応とGuarded Script

ServiceNowはセキュリティアドバイザリにおいて、この脆弱性が実際に悪用されている事実をまだ公式には認めていません。同社は、自社が管理するクラウド環境に対する攻撃の証拠は検出していないと述べています。とはいえ、開発元は顧客に対し、パッチを直ちに適用するよう強く求めています。特に、プラットフォームをセルフホスト型の企業サーバーで運用している組織にとっては、これが極めて重要です。

今回の発見を受け、ServiceNowは認証前スクリプトに関する制限を大幅に強化しました。新たに導入されたGuarded Scriptの仕組みでは、単一かつ単純な式のみが許可されます。変数宣言、ループ構造、関数定義、そして一つのスクリプト内での複数コマンドの実行は、明示的に禁止されています。