Die erste der drei Lücken ist eine Schwachstelle zur Codeeinschleusung, über die Angreifer beliebigen Code ausführen können. Die zweite geht ebenfalls auf eine Schwäche bei der Codeeinschleusung zurück, ermöglicht jedoch die Ausweitung von Rechten. Die dritte erlaubt es Angreifern, per SQL-Injection auf Daten einer Instanz zuzugreifen oder diese zu verändern.
Ebenfalls am Donnerstag behob ServiceNow ein als hoch eingestuftes Problem in derselben Plattform: Über einen Sandbox-Ausbruch (CVE-2026-6876) können Angreifer mit einfachen Rechten Code aus der Ferne auf betroffenen Systemen ausführen.
“Uns sind derzeit keine böswilligen Angriffe gegen ServiceNow-Instanzen bekannt. Wir empfehlen Kunden, die passenden Updates zügig einzuspielen oder auf eine gepatchte Version zu wechseln, sofern das noch nicht geschehen ist”, teilte das Unternehmen mit.
Keine der am Donnerstag geschlossenen Lücken wurde vom Hersteller als aktiv ausgenutzt markiert. Mehrere Schwachstellen in ServiceNow-Produkten waren in den vergangenen Jahren allerdings Ziel realer Angriffe. Vor zwei Jahren verketteten Angreifer drei Lücken (CVE-2024-4879, CVE-2024-5178 und CVE-2024-5217) mithilfe öffentlich verfügbarer Exploits, um weltweit in Privatunternehmen und Behörden einzudringen und Daten zu entwenden.
Zuletzt meldete die Threat-Intelligence-Firma Defused im Juli, dass Angreifer eine weitere kritische Schwachstelle ausnutzen: CVE-2026-6875, einen Sandbox-Ausbruch in der ServiceNow AI Platform, der ohne vorherige Authentifizierung funktioniert.
Darüber hinaus hat ServiceNow im vergangenen Monat nicht öffentlich einen Sicherheitsvorfall offengelegt. Dabei nutzten Sicherheitsforscher beziehungsweise eine von Kunden getragene Untersuchung eine Schwachstelle für unauthentifizierten Zugriff über einen verwundbaren API-Endpunkt, um Daten aus Kundeninstanzen abzufragen.