ServiceNow、AIプラットフォームの重大なコードインジェクション脆弱性3件を修正

ServiceNowは、ServiceNow AIプラットフォームに存在する3件の重大なコードインジェクションの欠陥を含む、合計4件の脆弱性に対するパッチを公開しました。3件はいずれも最大深刻度（CVSSスコア10/10）となっています。

重大な脆弱性の1つ目、CVE-2026-18885として追跡されているものは、特定の条件下で攻撃者がServiceNowプラットフォーム上で任意のコードを実行できてしまうものです。

攻撃者はこの脆弱性を悪用することで、任意のデータにアクセスし、さらに改変することも可能になるとServiceNowはアドバイザリの中で述べています。

2つ目の重大な欠陥であるCVE-2026-18886は、アクセス制御の不備に関する問題です。攻撃者が任意のデータを作成・改変し、権限を昇格させることを可能にする恐れがあります。

CVE-2026-74820として追跡されている3つ目の重大な脆弱性は、SQLインジェクションの欠陥であり、攻撃者がServiceNowの基盤となるデータベースに対して任意のSQL文を実行できてしまいます。

攻撃者はこのバグを悪用することで「本来意図された範囲を超えてインスタンスのデータにアクセスし、あるいは改変する」ことが可能になるとServiceNowは述べています。

同社によると、これら3件の脆弱性はいずれも認証やユーザー操作を必要としません。3件とも、複雑性の低い攻撃で悪用可能です。

4つ目の問題であるCVE-2026-6876（CVSSスコア8.7）は、深刻度「高」のサンドボックスエスケープの脆弱性で、認証なしに悪用され、Now Platform内でのコード実行につながる可能性があります。

攻撃者はこのセキュリティ上の欠陥を悪用することで、「本来意図された以上のNow Platformへのアクセス権」を得られる恐れがあると同社は説明しています。

ServiceNowは、ホスティングされている全インスタンスに対して4件すべての脆弱性に対するパッチを展開済みだとしています。同社はまた、自己ホスト型インスタンス向けのホットフィックスもリリースしており、顧客に対してできるだけ早く適用するよう呼びかけています。

このホットフィックスは、ServiceNowのXanadu、Yokohama、Zurich、Australiaの各リリースで利用可能です。

iCOUNTERの不正対策業務担当ディレクターであるJason Brown氏によると、攻撃者は新たに発見された脆弱性を迅速に悪用してくるため、セキュリティチームはServiceNowインスタンスへのパッチ適用を最優先事項とすべきだといいます。

「自社インフラでServiceNowを運用しているすべての組織は、今や自らパッチを見つけ出し、スケジュールを組んで適用しなければなりません。多くの組織では、このプロセスに数日ではなく数週間かかります。その数週間の間、GraphQL Composite Data APIのコードインジェクションの欠陥やSQLインジェクションの脆弱性を突く実働のエクスプロイトを持つ未認証の攻撃者は、人事記録やベンダーのオンボーディング、財務承認業務と隣り合わせのシステムに侵入する現実的なチャンスを手にすることになります」とBrown氏は述べています。

「私は何年にもわたり、脆弱性の公表とパッチ適用の間に生じるこの空白期間を狙う不正行為者たちを追いかけてきました。彼らはそこが最も侵入しやすい場所だと知っているからです。ServiceNowを自己ホスト型で運用しているセキュリティチームへの私からの助言はシンプルです。通常のパッチ適用サイクルを待たず、これを緊急案件として扱い、今週中に適用が完了していることを確認してください」と同氏は付け加えました。