Im Mittelpunkt steht die Schwachstelle CVE-2026-6875 in der ServiceNow-AI-Plattform. Laut Beschreibung handelt es sich um einen kritischen Sandbox-Escape, der es einem nicht authentifizierten Angreifer in bestimmten Konstellationen ermöglicht, aus der Ferne beliebigen Code auszuführen.
ServiceNow hatte bei der Verfügbarkeit der Patches mitgeteilt, dass die Sicherheitsaktualisierung für vom Hersteller gehostete Instanzen bereits bereitgestellt worden sei. Für selbst gehostete Umgebungen gilt das nicht automatisch: Diese Kunden müssen die Patches selbst installieren.
Ebenfalls an diesem Tag veröffentlichte das Cybersicherheitsunternehmen Searchlight Cyber technische Einzelheiten und zeigte, wie sich die Schwachstelle ausnutzen lässt. Wenige Tage später berichtete das Threat-Intelligence-Unternehmen Defused, es habe eine Ausnutzung von CVE-2026-6875 in freier Wildbahn beobachtet, die auf den von Searchlight Cyber offengelegten Informationen basiere.
Defused erklärte zunächst, die beobachtete Ausnutzung führe zwar zum selben Ergebnis wie der Proof of Concept von Searchlight Cyber, nutze aber einen leicht anderen Weg. Am Montag korrigierte das Unternehmen diese Darstellung jedoch: Eine genauere Analyse habe gezeigt, dass die erfasste Schadlast tatsächlich mit der von Searchlight Cyber identisch gewesen sei.
Die ursprüngliche Warnmeldung von ServiceNow hatte noch festgehalten, dass dem Unternehmen keine aktive Ausnutzung bekannt sei. Bis zum Zeitpunkt des Berichts war diese Mitteilung nicht entsprechend aktualisiert worden.
Ein Sprecher von ServiceNow sagte gegenüber SecurityWeek, dem Unternehmen sei die jüngste Veröffentlichung eines Cybersicherheitsunternehmens zu Ausnutzungsaktivitäten im Zusammenhang mit der bereits offengelegten Schwachstelle CVE-2026-6875 bekannt. Nach bisherigem Stand der eigenen Untersuchung habe man keine Hinweise darauf gesehen, dass diese Aktivitäten Instanzen betreffen, die von ServiceNow selbst gehostet werden.
Weiter erklärte der Sprecher, ServiceNow habe Aktualisierungen und Patches bereitgestellt, um das Problem zu beheben, und empfehle sowohl selbst gehosteten als auch von ServiceNow gehosteten Kunden, die jeweiligen Patches einzuspielen, falls dies noch nicht geschehen sei. Zudem werde das Unternehmen weiterhin direkt mit Kunden zusammenarbeiten, die Unterstützung bei der Installation benötigen.
Weitere Berichte über die Ausnutzung von CVE-2026-6875 scheinen derzeit nicht vorzuliegen. Dem Bericht zufolge besteht zudem die Möglichkeit, dass die beobachteten Aktivitäten von Mitgliedern der Cybersicherheitsbranche ausgehen, die nach verwundbaren Systemen suchen.
Bereits im vergangenen Monat hatte ServiceNow Kunden über eine ausgenutzte Schwachstelle informiert, später aber präzisiert, dass die Ausnutzung Sicherheitsforschern und nicht Angreifern zugeschrieben worden sei. Schwachstellen in ServiceNow-Produkten werden durch Bedrohungsakteure nach Angaben des Berichts nur selten ausgenutzt. Im KEV-Katalog der CISA finden sich derzeit lediglich zwei solcher Lücken, beide im Jahr 2024 gepatcht.