Die Höchstbewertungen stammen von ServiceNow selbst: Das Unternehmen ist CVE Numbering Authority für seine eigenen Produkte. Seit dem 15. April 2026 reichert NIST nur noch jene Schwachstellen an, die im Known-Exploited-Vulnerabilities-Katalog der CISA auftauchen, Software der US-Bundesbehörden betreffen oder nach Executive Order 14028 als kritisch eingestuft sind. Keine der vier Lücken stand zum 28. August 2026 in diesem Katalog – die Einstufung des Herstellers ist damit die einzige dokumentierte Bewertung.
Auffällig ist eine Unstimmigkeit bei CVE-2026-6876: ServiceNow beschreibt den Fehler als Problem, das einem nicht authentifizierten Nutzer die Ausführung beliebigen Codes innerhalb der Now Platform erlauben könnte. Der für dieselbe Lücke vergebene CVSS-Vektor führt jedoch PR:L, also niedrige benötigte Privilegien. Dieser Vektor verzeichnet außerdem – anders als bei den drei mit 10.0 bewerteten Fehlern – keine Auswirkungen auf Systeme jenseits der verwundbaren Komponente.
Auch die Versionsangaben sind nicht durchgängig eindeutig. Der Eintrag zu CVE-2026-18886 führt “jede Version vor Australia Patch 5” mit dem Status unbekannt, während die übrigen drei Einträge dieselbe Version als betroffen markieren. Alle vier setzen als Standard-Produktstatus “nicht betroffen”, sodass jede nicht ausdrücklich genannte Version außerhalb des betroffenen Bereichs liegt.
Dem Advisory vorausgegangen war CVE-2026-6875, ein Sandbox-Ausbruch vor der Authentifizierung in derselben Plattform. Searchlight Cyber meldete diese Lücke am 1. April 2026 an ServiceNow, das Advisory dazu erschien am 13. Juli. Wenige Tage später erklärte das Threat-Intelligence-Unternehmen Defused, Ausnutzung in freier Wildbahn zu beobachten, korrigierte diese Einschätzung jedoch anschließend: Der erfasste Payload entsprach dem von Searchlight Cyber veröffentlichten Proof-of-Concept-Exploit.
“ServiceNow ist die kürzliche Veröffentlichung eines Cybersicherheitsunternehmens zu Ausnutzungsaktivitäten im Zusammenhang mit einer zuvor offengelegten Schwachstelle, CVE-2026-6875, bekannt”, sagte ein Sprecher von ServiceNow gegenüber The Hacker News. “Nach unserem bisherigen Untersuchungsstand haben wir keine Hinweise darauf gefunden, dass diese Aktivität mit von ServiceNow gehosteten Instanzen zusammenhängt.” Man habe Updates und Patches bereitgestellt und fordere sowohl selbst hostende als auch von ServiceNow gehostete Kunden auf, die entsprechenden Patches einzuspielen, sofern dies noch nicht geschehen sei; zudem werde man Kunden bei Bedarf direkt unterstützen.
Bemerkenswert ist der Vergleich der Bewertungen: Den im Juli als ausgenutzt gemeldeten Sandbox-Ausbruch stufte ServiceNow unter derselben Version des Bewertungssystems mit 9.5 ein – bei identischen Metriken bis auf die Angriffskomplexität, die dort auf hoch gesetzt wurde. Die drei neuen Höchstwert-Lücken bewertet das Unternehmen dagegen mit niedriger Angriffskomplexität.
Adam Kues, Sicherheitsforscher bei Searchlight Cyber, hatte im Juli geschrieben, ServiceNow “verbessere die Sicherheit der Instanzen, indem es die Art von Code, der in Sandbox-Kontexten laufen kann, stark einschränkt”.