ServiceNow AIプラットフォーム、CVSS 10.0の最重要脆弱性を3件修正

ServiceNowは最近、同社のAIプラットフォームに存在する最高深刻度の脆弱性3件を修正しました。驚くべきことに、いずれの脆弱性もCVSS 4.0スケールで満点となる10.0の評価を受けています。さらに、攻撃者がこれらの弱点を悪用する際には、認証もユーザー操作も一切必要としません。最悪のシナリオでは、悪意ある攻撃者が任意のコードやSQLコマンドを実行し、極めて機密性の高い企業データへ即座に無制限にアクセスできてしまう可能性があります。

最高深刻度の脆弱性3件

最も危険な脆弱性はCVE-2026-18885として識別されており、GraphQL Composite Data API内に存在します。この特定の不具合により、攻撃者は悪意あるコードを注入できます。特定の条件下では、事前の認証なしにこのコードをプラットフォーム上で直接実行することが可能です。攻撃が成功すると、当該ServiceNowインスタンスが保持するデータ全体への包括的なアクセス権を攻撃者に与えてしまいます。その結果、制限されているはずの情報の不正な改ざんも許してしまいます。

設定とSQLインジェクションの脅威

2つ目の脆弱性であるCVE-2026-18886は、システム設定イメージの読み込み時におけるアクセス制御の不備に関するものです。特定の状況下では、認証されていないユーザーがServiceNowインスタンス内のデータを悪意を持って作成・改ざんできてしまう可能性があります。最終的には、これによって攻撃者はシステム権限を昇格させることに成功してしまいます。

最後に、CVE-2026-74820は、動的スキーマ処理の仕組み内に存在する深刻なSQLインジェクションの脆弱性です。この脆弱性により、攻撃者は一切の認可を必要とせずに、任意のSQLコマンドをプラットフォームのデータベースへ直接送信できてしまいます。その結果として、攻撃者は重要な企業情報を読み取ったり、密かに改ざんしたりできるという恐ろしい可能性を手にすることになります。

対応状況と残るリスク

ServiceNowはすでに、自社のクラウドインフラでホストされている全インスタンスに対し、必要なパッチを積極的に適用済みです。同社はまた、ServiceNowをセルフホスト方式で運用しているパートナーおよび顧客に対しても、重要なアップデートを配布しています。しかし、こうした自社運用環境を管理する管理者は、修正済みバージョンを手動で適用する必要があります。今回の憂慮すべき脆弱性は、Xanadu、Yokohama、Zurich、Australiaを含む複数のリリースに影響を及ぼします。事態の深刻さを裏付けるように、カナダサイバーセキュリティセンターは8月28日、ServiceNow管理者に対して別途緊急の警告を発し、利用可能なアップデートすべての即時適用を強く推奨しました。

容易な悪用がもたらす危険性

ServiceNowの公式発表によれば、調査担当者はこれら3件の新たな脆弱性について、実際の環境での悪用を示す証拠を一切発見していません。さらに、8月28日時点で、セキュリティ研究者らは公開されているエクスプロイトを確認していません。しかし、このCVSS満点の評価は、単に潜在的な被害規模の大きさだけを反映したものではありません。3件の重大な問題はいずれもネットワーク経由で容易にアクセス可能であり、悪用の複雑さは著しく低く、権限の昇格やユーザー操作も一切必要としません。

この脆弱性がもたらしうる影響が極めて深刻である最大の理由は、ServiceNowが大規模組織において中枢的な役割を担っている点にあります。同プラットフォームは、重要なITプロセス、広範なインフラおよび資産管理、ワークフローの自動化、そして重要な情報セキュリティ業務を綿密に管理しています。したがって、これほど基盤的なノードが侵害されれば、攻撃者は単一の孤立したアプリケーションをはるかに超えたアクセス権を手に入れることになります。企業インフラ全体の複数の重要なセグメントと分かちがたく結びついたデータや自動化プロセスが、危険にさらされる可能性があるのです。