ServiceNow hat am 28. August 2026 Sicherheitsupdates veröffentlicht, um drei neue Sicherheitslücken mit maximalem Schweregrad in der ServiceNow AI Platform zu beheben, die früher als Now Platform bekannt war. Die Plattform ermöglicht die Integration von KI-Funktionen in Unternehmens-Workflows und wird laut den im Bericht enthaltenen Informationen von mehr als 100.000 unternehmensinternen KI-Anwendungen bei 85 % der Fortune-500-Unternehmen genutzt.
Bei den Schwachstellen handelt es sich um CVE-2026-18885, CVE-2026-18886 und CVE-2026-74820. Das Unternehmen erklärte, seine Cloud-Plattform gegen die Fehler abgesichert zu haben, und forderte Kunden, die selbst gehostete Instanzen betreiben, auf, die entsprechenden Updates einzuspielen oder auf eine korrigierte Version zu aktualisieren.
Drei verschiedene Angriffswege
Die erste Schwachstelle kann über einen Code-Injection-Angriff zur Ausführung beliebigen Codes ausgenutzt werden. Die zweite entsteht ebenfalls durch eine Schwachstelle bei der Code-Injection, kann einem Angreifer jedoch möglicherweise die Ausweitung von Berechtigungen ermöglichen. Die dritte erlaubt über SQL-Injection-Angriffe den Zugriff auf Daten der Instanz oder deren Änderung.
Alle drei Schwachstellen weisen Merkmale auf, die ihre betriebliche Gefährlichkeit erhöhen: Ein nicht authentifizierter Angreifer kann sie ausnutzen, die Angriffe sind von geringer Komplexität und erfordern keine Benutzerinteraktion. Diese Eigenschaften verringern die Voraussetzungen für den Zugriff auf betroffene Systeme, insbesondere wenn die Plattform mit sensiblen Unternehmensdaten und -Workflows verbunden ist.
Am selben Tag behob ServiceNow außerdem eine hochriskante Schwachstelle zur Umgehung der Sandbox mit der Kennung CVE-2026-6876. Diese Schwachstelle könnte einem Angreifer mit grundlegenden Berechtigungen die Ausführung von Code aus der Ferne auf den Zielsystemen ermöglichen.
Versionen mit den Korrekturen
Die Updates betrafen mehrere Versionen der Plattform, darunter:
- Xanadu: Patch 11 Hot Fix 7a.
- Yokohama: Patch 12 Hot Fix 3b und Patch 13 Hot Fix 4.
- Zurich: Patch 7b Hot Fix 3, Patch 8 Hot Fix 5 und Patch 9 Hot Fix 6 sowie die Versionen Patch 10, Patch 11 und Patch 12 mit den für jeden Zweig festgelegten Korrekturständen.
- Australia: Patch 2 Hot Fix 3, Patch 3 Hot Fix 2, Patch 3m, Patch 4 und Patch 5.
Warum ist diese Nachricht wichtig?
ServiceNow bestätigte, dass derzeit keine Hinweise auf eine böswillige Ausnutzung der vier Schwachstellen vorliegen, die das Unternehmen in dieser Version behoben hat. Das Fehlen beobachteter Ausnutzung beseitigt jedoch nicht die Priorität der Aktualisierung, da die kritischen Schwachstellen mit maximalem Schweregrad keine Authentifizierung oder Benutzerinteraktion erfordern und die Plattform Teil umfangreicher Unternehmensprozesse sein kann.
Diese Warnung stützt sich auf eine im Bericht erwähnte Vorgeschichte: Im Jahr 2024 nutzten Angreifer drei Schwachstellen in ServiceNow – CVE-2024-4879, CVE-2024-5178 und CVE-2024-5217 – nacheinander und mit öffentlich verfügbaren Exploit-Tools aus, um private Unternehmen und Behörden weltweit zu kompromittieren und Daten zu stehlen. Im Juli berichtete das Threat-Intelligence-Unternehmen Defused über die Ausnutzung von CVE-2026-6875, einer weiteren kritischen Schwachstelle zur Umgehung der Sandbox vor der Authentifizierung in der AI Platform.
ServiceNow gab außerdem im Vormonat vertraulich einen Sicherheitsvorfall bekannt, bei dem Sicherheitsforscher oder von Kunden geleitete Forschungsteams eine nicht authentifizierte Zugriffsschwachstelle über einen anfälligen API-Endpunkt nutzten, um Daten aus Kundeninstanzen abzufragen. Die Quelle belegt nicht, dass dieser Vorfall mit den drei neuen Schwachstellen zusammenhängt; daher bleibt ein Zusammenhang unbestätigt.