Компания ServiceNow опубликовала 27 августа 2026 года бюллетень безопасности, описывающий четыре уязвимости в ServiceNow AI Platform. Три из них — CVE-2026-18885, CVE-2026-18886 и CVE-2026-74820 — получили максимальную оценку 10.0 по CVSS v4 и при определённых условиях могут быть эксплуатированы без аутентификации. Четвёртая уязвимость, CVE-2026-6876, оценена в 8.7 балла. Патчи уже развёрнуты на размещённых ServiceNow экземплярах, однако организации с самостоятельным размещением должны применить обновления вручную. Затронуты релизы Xanadu, Yokohama, Zurich и Australia.
Технический разбор уязвимостей
Три уязвимости с рейтингом CVSS 10.0
Все три максимально критичные уязвимости объединяет один и тот же вектор CVSS v4: AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. Это означает: атака выполняется по сети, сложность низкая, привилегии не требуются, взаимодействие пользователя не нужно, а воздействие на конфиденциальность, целостность и доступность — максимальное как для уязвимого компонента, так и для связанных систем.
- CVE-2026-18885 — инъекция кода в GraphQL Composite Data API. Позволяет неаутентифицированному пользователю выполнить произвольный код и получить доступ к данным экземпляра или модифицировать их.
- CVE-2026-18886 — нарушение контроля доступа в обработчике загрузки образов системной конфигурации. Позволяет создавать или изменять данные экземпляра, что ведёт к повышению привилегий.
- CVE-2026-74820 — SQL-инъекция через динамическую конструкцию ORDER BY в схеме данных. Позволяет выполнять произвольные SQL-запросы к базе данных экземпляра.
Четвёртая уязвимость: выход из песочницы
CVE-2026-6876 (CVSS 8.7) описана как выход из песочницы в Now Platform, позволяющий выполнить произвольный код. Стоит отметить противоречие в описании: текстовое описание ServiceNow указывает на возможность эксплуатации неаутентифицированным пользователем, тогда как назначенный CVSS-вектор содержит метрику PR:L (требуются низкие привилегии). В отличие от трёх предыдущих уязвимостей, вектор CVE-2026-6876 не фиксирует воздействия на системы за пределами уязвимого компонента.
Контекст: связь с предыдущей уязвимостью
Августовский бюллетень появился на фоне продолжающейся истории с CVE-2026-6875 — уязвимостью удалённого выполнения кода в той же платформе, раскрытой 13 июля 2026 года. Эта уязвимость получила оценку CVSS v4 9.5 от ServiceNow, причём единственное отличие от вектора трёх новых уязвимостей — сложность атаки, установленная как высокая (AC:H) вместо низкой. Компания Searchlight Cyber, как сообщается, сообщила об этой уязвимости ServiceNow ещё 1 апреля 2026 года и впоследствии опубликовала техническое описание с доказательством концепции.
ServiceNow заявила, что по результатам расследования не обнаружила свидетельств того, что активность, связанная с CVE-2026-6875, затронула размещённые компанией экземпляры. По каждой из четырёх новых уязвимостей ServiceNow также указала, что на момент публикации бюллетеня ей неизвестно об активной эксплуатации.
Особенности оценки рисков
Критически важный нюанс: все рейтинги CVSS для четырёх новых уязвимостей — это оценки самой ServiceNow. Компания является авторизованным CNA (CVE Numbering Authority) для собственных продуктов. С 15 апреля 2026 года NIST обогащает данными NVD только уязвимости из каталога CISA KEV, затрагивающие федеральное ПО или отнесённые к критическим по Executive Order 14028. Ни одна из четырёх уязвимостей не внесена в каталог CISA Known Exploited Vulnerabilities по состоянию на 28 августа 2026 года, поэтому независимая оценка серьёзности отсутствует.
Это не означает, что рейтинги завышены, — но организациям следует учитывать, что единственным источником оценки является сам вендор. Публичный код эксплойта для трёх уязвимостей с рейтингом 10.0 на момент публикации не обнаружен, однако наличие PoC для родственной CVE-2026-6875 демонстрирует, что исследовательское сообщество активно изучает механизмы песочницы ServiceNow.
Затронутые версии
Согласно августовскому бюллетеню ServiceNow, уязвимы следующие версии:
- Xanadu — все версии до Patch 11 Hot Fix 7a
- Yokohama — все версии до Patch 12 Hot Fix 3b и до Patch 13 Hot Fix 4
- Zurich — все версии до Patch 7b Hot Fix 3, Patch 8 Hot Fix 5, Patch 9 Hot Fix 6, Patch 10 Hot Fix 2m (ветка m), Patch 10 Hot Fix 3 (стандартная), Patch 11 или Patch 12
- Australia — все версии до Patch 2 Hot Fix 3, Patch 3 Hot Fix 2, Patch 3m, Patch 4 или Patch 5
Версии, не указанные в списке, по умолчанию считаются незатронутыми. Для CVE-2026-18886 версия «до Australia Patch 5» помечена со статусом «unknown», тогда как для остальных трёх уязвимостей та же версия помечена как затронутая.
Рекомендации
- Самостоятельно размещённые экземпляры: немедленно проверьте текущую версию и примените соответствующие патчи из бюллетеня. ServiceNow уже развернула обновления на размещённых ею экземплярах, но ответственность за самостоятельно размещённые инстансы лежит на операторах.
- Приоритет: три уязвимости с рейтингом 10.0 затрагивают фундаментальные компоненты — API для работы с данными, обработчик загрузки конфигурации и механизм SQL-запросов. Эксплуатация любой из них без аутентификации может привести к полной компрометации экземпляра.
- Мониторинг: отслеживайте аномальные обращения к GraphQL API, нетипичные загрузки через обработчик образов конфигурации и подозрительные паттерны в SQL-запросах с динамическими конструкциями ORDER BY.
- Сетевая сегментация: если немедленное обновление невозможно, ограничьте сетевой доступ к экземплярам ServiceNow, исключив прямой доступ из недоверенных сетей.
Совокупность трёх уязвимостей с максимальным рейтингом, низкой сложностью атаки и отсутствием требований к аутентификации формирует крайне высокий уровень риска для незащищённых экземпляров. Учитывая, что исследователи уже продемонстрировали успешную эксплуатацию механизмов песочницы ServiceNow на примере CVE-2026-6875, появление эксплойтов для новых уязвимостей — вопрос времени. Организациям с самостоятельным размещением следует рассматривать применение патчей как задачу с наивысшим приоритетом и завершить обновление в течение ближайших дней.
