ServiceNowは、4件の脆弱性に対するセキュリティアップデートをリリースしました。このうち3件は「クリティカル」評価であり、認証されていない攻撃者がコードを実行したり、インスタンスのデータを改ざんしたり、権限を昇格させたり、影響を受ける環境に対して任意のSQLコマンドを実行したりすることが可能になるおそれがあります。
2026年8月27日付のアドバイザリでは、CVE-2026-6876、CVE-2026-18885、CVE-2026-18886、CVE-2026-74820として追跡されている脆弱性が取り上げられています。これらの問題はNow PlatformおよびServiceNow AIプラットフォームのコンポーネントに影響します。
ServiceNowによると、これらの脆弱性は自社の内部セキュリティ調査および責任ある開示プログラムを通じて発見され、それぞれ個別に修正が行われたとのことです。
CVE-2026-6876は、Now Platformにおけるサンドボックスエスケープの脆弱性で、深刻度は「高」と評価されています。ServiceNowによれば、この脆弱性により認証されていない攻撃者がプラットフォーム上で任意のコードを実行し、本来意図されたセキュリティ境界を超えてアクセスを獲得する可能性があるとしています。
サンドボックスエスケープの脆弱性は特に重大です。コード実行を制限し、機密性の高いプラットフォームリソースへのアクセスを制御するために設計された分離機構を突破してしまう可能性があるためです。
残る3件の脆弱性は、CVSS v4.0計算式に基づき「クリティカル」と評価されています。CVE-2026-18885はServiceNow AIプラットフォームにおけるコードインジェクションの脆弱性で、特定の状況下では認証なしでのリモートコード実行を許してしまう可能性があります。
この脆弱性の悪用に成功すると、攻撃者はプラットフォームが本来許可している権限の範囲を超えて、インスタンスのデータへアクセスしたり改変したりできるようになります。CVE-2026-18886も、ServiceNow AIプラットフォームに影響を及ぼす、もう一つのクリティカルなコードインジェクションの脆弱性です。
ServiceNowは、この脆弱性について任意のコード実行を直接説明するのではなく、認証されていない攻撃者がインスタンスのデータを作成・改変できてしまい、その結果として権限昇格につながる可能性があると説明しています。
こうしたアクセスが可能になると、脅威アクターはワークフローの記録を改ざんしたり、業務プロセスを変更したり、影響を受けたインスタンス内でより広範なアクセスを得るための足がかりを作ったりすることができてしまいます。
データ層における最も深刻なリスクは、ServiceNow AIプラットフォームにおけるクリティカルなSQLインジェクションの脆弱性、CVE-2026-74820です。認証されていない攻撃者は、インスタンスの基盤となるデータベースに対して任意のSQL文を実行し、不正にデータへアクセスしたり改変したりできる可能性があります。
SQLインジェクションの脆弱性は、サービス管理チケットを含む、極めて機密性の高い企業レコードや、ID関連データ、ワークフロー設定、その他ServiceNow環境に保存された業務情報を露呈させるおそれがあります。
ServiceNowによると、Patching Programに登録している顧客にはすでに必要なアップデートが提供されているとのことです。とはいえ、各組織は自社のインスタンスが修正済みバージョンで稼働しているかどうかを確認する必要があります。
修正済みリリースには、Xanadu Patch 11 Hot Fix 7aのほか、Yokohama Patch 12 Hot Fix 3bやPatch 13 Hot Fix 4を含む複数のYokohamaリリース、そしてPatch 12までの複数のZurichリリースが含まれます。
オーストラリアの顧客は、Australia Patch 2 Hot Fix 3、Patch 3 Hot Fix 2、Patch 3m、Patch 4、またはPatch 5にアップデートする必要があります。自社でServiceNowをホストしている顧客は、該当するアップデートを速やかに適用するか、修正済みリリースへアップグレードする必要があります。
セキュリティチームは、インスタンスのアクセスログを確認し、想定外のデータ改変がないか監視するとともに、特にAIを活用したワークフローにおいて、不審なSQLアクティビティや権限の変更がないか調査することも求められます。
不審なアクティビティをより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに提供しましょう。ANY.RUNで調査体制を強化する
翻訳元: https://cyberpress.org/servicenow-patches-critical-flaws/
