Die erste der drei kritischen Schwachstellen wird als CVE-2026-18885 geführt. Sie erlaubt es einem Angreifer unter bestimmten Umständen, beliebigen Code auf der ServiceNow-Plattform auszuführen. Laut dem Hinweis des Herstellers lässt sich der Fehler nutzen, um auf beliebige Daten zuzugreifen und diese möglicherweise auch zu verändern.
Die zweite kritische Lücke, CVE-2026-18886, beschreibt ServiceNow als fehlerhafte Zugriffskontrolle. Angreifer könnten dadurch beliebige Daten anlegen oder verändern und ihre Rechte ausweiten.
Bei der dritten kritischen Schwachstelle, CVE-2026-74820, handelt es sich um eine SQL-Injection. Über sie lassen sich beliebige SQL-Anweisungen gegen die zugrunde liegende ServiceNow-Datenbank absetzen. Ein Angreifer könne so, wie ServiceNow schreibt, „auf Instanzdaten über das vorgesehene Maß hinaus zugreifen oder diese verändern".
Alle drei Fehler eint, dass sie weder Authentifizierung noch Nutzerinteraktion erfordern und sich mit geringem Aufwand ausnutzen lassen — eine Kombination, die die Höchstbewertung von 10 Punkten erklärt.
Die vierte behobene Schwachstelle, CVE-2026-6876, ist mit einem CVSS-Wert von 8,7 als hoch eingestuft. Es handelt sich um einen Sandbox-Ausbruch, der ebenfalls ohne Authentifizierung ausgenutzt werden kann und Codeausführung innerhalb der Now Platform ermöglicht. Angreifer erhielten dadurch nach Angaben des Unternehmens „mehr Zugriff auf die Now Platform als vorgesehen".
Für seine gehosteten Instanzen hat ServiceNow die Korrekturen nach eigenen Angaben bereits ausgerollt. Betreiber eigener Installationen müssen selbst tätig werden: Für sie stehen Hotfixes bereit, die das Unternehmen so schnell wie möglich eingespielt sehen will. Angeboten werden sie für die Releases Xanadu, Yokohama, Zurich und Australia.
Genau in dieser Selbstverantwortung sieht Jason Brown, Director of Counter Fraud Operations bei iCOUNTER, das eigentliche Risiko. „Alle, die ServiceNow auf eigener Infrastruktur betreiben, müssen den Patch nun selbst finden, einplanen und einspielen — und in vielen Organisationen dauert dieser Prozess Wochen, nicht Tage", sagte Brown. In dieser Zeit habe ein nicht authentifizierter Angreifer mit einem funktionierenden Exploit für die Code-Injection-Lücke in der GraphQL Composite Data API oder für die SQL-Injection „reelle Chancen auf Systeme, die direkt neben Personaldaten, Lieferanten-Onboarding und Finanzfreigaben stehen".
Brown verweist auf seine Erfahrung aus der Verfolgung von Betrugsakteuren: Diese hätten es gezielt auf die Verzögerung zwischen Veröffentlichung einer Lücke und dem Einspielen der Patches abgesehen, weil dort der einfachste Zugang liege. Sein Rat an Sicherheitsteams mit selbst gehosteten ServiceNow-Installationen falle entsprechend knapp aus: nicht auf den regulären Patch-Zyklus warten, den Fall als dringend behandeln und die Umsetzung noch in dieser Woche bestätigen.