ServiceNow устранила три критические уязвимости CVSS 10.0 в AI Platform

ServiceNow выпустила обновления для четырёх уязвимостей в ServiceNow AI Platform. Три из них компания оценила в 10,0 балла по CVSS: CVE-2026-18885, CVE-2026-18886 и CVE-2026-74820 при определённых условиях доступны неаутентифицированному атакующему. Четвёртая проблема, CVE-2026-6876, получила оценку 8,7.

Для размещённых у ServiceNow экземпляров обновление уже развёрнуто. Партнёры и заказчики с самостоятельно развёрнутыми системами получили патчи, однако их установка остаётся задачей владельцев таких инсталляций.

Что позволяют критические ошибки

CVE-2026-18885 связана с внедрением кода в GraphQL Composite Data API. По описанию ServiceNow, проблема может позволить пользователю без аутентификации выполнить произвольный код, получить доступ к данным экземпляра или изменить их.

CVE-2026-18886 затрагивает контроль доступа в обработчике загрузки изображений для конфигурации системы. Она может дать неаутентифицированному пользователю возможность создавать или менять данные экземпляра, что ведёт к повышению привилегий.

CVE-2026-74820 представляет собой SQL-инъекцию, достижимую через предложение ORDER BY в динамической схеме. При успешной атаке возможно выполнение произвольных SQL-команд в базовой базе данных экземпляра.

Оценки и затронутые версии

Для трёх уязвимостей с оценкой 10,0 ServiceNow указала одинаковый вектор CVSS 4.0: атака доступна по сети, имеет низкую сложность, не требует привилегий и взаимодействия с пользователем. Вектор также предусматривает высокий ущерб конфиденциальности, целостности и доступности как уязвимого компонента, так и связанных систем.

CVE-2026-6876 описана как выход из песочницы Now Platform, который может позволить выполнить произвольный код. В её CVSS-векторе, однако, указано требование низких привилегий и отсутствие влияния на системы за пределами уязвимого компонента.

• Xanadu: исправление включено начиная с Patch 11 Hot Fix 7a.
• Yokohama: необходимы Patch 12 Hot Fix 3b либо Patch 13 Hot Fix 4.
• Zurich: затронутые ветки закрываются перечисленными ServiceNow исправлениями от Patch 7b Hot Fix 3 до Patch 12.
• Australia: в бюллетене перечислены обновления от Patch 2 Hot Fix 3 до Patch 5.

В записи CVE-2026-18886 статус версии до Australia Patch 5 отмечен как неизвестный, тогда как для остальных трёх проблем та же версия обозначена затронутой. Для всех четырёх записей базовый статус продукта установлен как «не затронут», поэтому релизы, не названные в перечне, находятся вне указанного набора уязвимых версий.

Что известно об эксплуатации

ServiceNow заявила, что на момент публикации не располагает сведениями об эксплуатации ни одной из четырёх новых уязвимостей. По состоянию на 28 августа 2026 года публичного эксплойт-кода для трёх проблем с оценкой 10,0 также не было найдено.

Новый бюллетень вышел после раскрытия CVE-2026-6875 — другой ошибки выхода из песочницы до аутентификации в той же платформе. Defused сначала сообщила о наблюдаемой эксплуатации этой уязвимости, а затем уточнила, что перехваченная нагрузка совпадала с опубликованным Searchlight Cyber демонстрационным эксплойтом.

Организациям, использующим self-hosted ServiceNow, следует определить фактические семейства и уровни патчей, сопоставить их с августовским бюллетенем и применить соответствующие обновления. Для размещённых экземпляров важно убедиться, что обновление ServiceNow действительно применено к используемой среде.