ServiceNow đã phát hành các bản vá cho bốn lỗ hổng bảo mật ảnh hưởng đến ServiceNow AI Platform, trong đó có ba lỗ hổng đạt điểm tối đa 10.0 trên hệ thống chấm điểm CVSS và có thể bị kẻ tấn công chưa xác thực khai thác trong một số trường hợp nhất định.
Công ty cho biết họ đã triển khai bản cập nhật bảo mật cho các instance được lưu trữ (hosted instances) và cung cấp bản cập nhật cho các đối tác cũng như khách hàng tự lưu trữ (self-hosted), điều này đồng nghĩa với việc các tổ chức tự vận hành instance của riêng mình phải tự thực hiện các biện pháp khắc phục.
Thông báo tư vấn bảo mật đã được công bố vào ngày 27 tháng 8 năm 2026 và bốn lỗ hổng được liệt kê dưới đây:
- CVE-2026-18885 (điểm CVSS: 10.0) - Một lỗ hổng code injection trong GraphQL Composite Data API có thể cho phép người dùng chưa xác thực thực thi mã tùy ý và giành quyền truy cập hoặc sửa đổi dữ liệu instance.
- CVE-2026-18886 (điểm CVSS: 10.0) - Một lỗ hổng improper access control trong bộ xử lý tải lên hình ảnh cấu hình hệ thống có thể cho phép người dùng chưa xác thực tạo hoặc sửa đổi dữ liệu instance, dẫn đến việc privilege escalation.
- CVE-2026-74820 (điểm CVSS: 10.0) - Một lỗ hổng SQL injection thông qua mệnh đề ORDER BY trong schema động, cho phép người dùng chưa xác thực thực thi các câu lệnh SQL tùy ý đối với cơ sở dữ liệu nền của instance.
- CVE-2026-6876 (điểm CVSS: 8.7) - Một lỗi sandbox escape trong Now Platform có thể cho phép người dùng chưa xác thực thực thi mã tùy ý.
Ba lỗi có mức độ nghiêm trọng tối đa chia sẻ chung vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H, mô tả một cuộc tấn công có thể thực hiện qua mạng với độ phức tạp thấp, không yêu cầu đặc quyền và không cần sự tương tác của người dùng, mang lại tác động cao đến tính bảo mật, tính toàn vẹn và tính khả dụng của cả thành phần bị ảnh hưởng và các hệ thống được kết nối với nó.
Thông báo này được đưa ra sau lỗ hổng CVE-2026-6875, một lỗi sandbox escape trước xác thực (pre-authentication) trên cùng nền tảng. Searchlight Cyber đã báo cáo lỗi đó cho ServiceNow vào ngày 1 tháng 4 năm 2026. ServiceNow đã công bố thông tin tư vấn về nó vào ngày 13 tháng 7.
Công ty tình báo đe dọa Defused cho biết vài ngày sau thông báo tháng 7 rằng họ đã quan sát thấy hoạt động khai thác CVE-2026-6875 trong thực tế. Sau đó, họ đã đưa ra một bản đính chính cho biết payload thu thập được khớp với mã khai thác Proof-of-Concept (PoC) đã được công bố của Searchlight Cyber.
"ServiceNow đã biết về ấn phẩm gần đây của một công ty an ninh mạng liên quan đến hoạt động khai thác liên quan đến lỗ hổng bảo mật đã được tiết lộ trước đó, được xác định là CVE-2026-6875," một phát ngôn viên của ServiceNow nói với The Hacker News. "Dựa trên cuộc điều tra của chúng tôi cho đến nay, chúng tôi chưa thấy bằng chứng cho thấy hoạt động này liên quan đến các instance mà ServiceNow lưu trữ."
"Chúng tôi đã cung cấp các bản cập nhật và bản vá được thiết kế để giải quyết vấn đề này và chúng tôi khuyến khích khách hàng tự lưu trữ cũng như khách hàng được ServiceNow lưu trữ áp dụng các bản vá liên quan nếu họ chưa thực hiện. Ngoài ra, chúng tôi sẽ tiếp tục làm việc trực tiếp với những khách hàng cần hỗ trợ trong việc áp dụng các bản vá," người phát ngôn cho biết.
Xếp hạng 10.0 là do ServiceNow tự đánh giá. Công ty là Cơ quan đánh số CVE (CVE Numbering Authority) cho các sản phẩm của mình và kể từ ngày 15 tháng 4 năm 2026, NIST chỉ làm giàu dữ liệu cho các lỗ hổng xuất hiện trong danh mục Các lỗ hổng bị khai thác đã biết (Known Exploited Vulnerabilities - KEV) của CISA, ảnh hưởng đến phần mềm của chính phủ liên bang hoặc được chỉ định là nghiêm trọng theo Sắc lệnh hành pháp 14028.
Tính đến ngày 28 tháng 8 năm 2026, không có lỗi nào trong bốn lỗi này xuất hiện trong danh mục, khiến xếp hạng của ServiceNow trở thành đánh giá mức độ nghiêm trọng duy nhất được ghi nhận.
ServiceNow xếp hạng cả ba lỗ hổng nghiêm trọng tối đa mới ở mức độ phức tạp tấn công thấp. Họ đã chấm điểm lỗi sandbox escape được báo cáo bị khai thác vào tháng 7 là 9.5 theo cùng phiên bản của hệ thống chấm điểm, với mọi chỉ số giống hệt ba lỗi kia ngoại trừ độ phức tạp của cuộc tấn công, được đặt ở mức cao (high).
Các phiên bản bị ảnh hưởng
ServiceNow liệt kê các phiên bản sau đây bị ảnh hưởng trong thông báo bảo mật tháng 8 của mình:
- Xanadu - bất kỳ phiên bản nào trước Patch 11 Hot Fix 7a
- Yokohama - bất kỳ phiên bản nào trước Patch 12 Hot Fix 3b và bất kỳ phiên bản nào trước Patch 13 Hot Fix 4
- Zurich - bất kỳ phiên bản nào trước Patch 7b Hot Fix 3, Patch 8 Hot Fix 5, Patch 9 Hot Fix 6, Patch 10 Hot Fix 2m (m-branch), Patch 10 Hot Fix 3 (standard), Patch 11, hoặc Patch 12
- Australia - bất kỳ phiên bản nào trước Patch 2 Hot Fix 3, Patch 3 Hot Fix 2, Patch 3m, Patch 4, hoặc Patch 5
Hồ sơ về CVE-2026-18886 đánh dấu "Bất kỳ phiên bản nào trước Australia Patch 5" với trạng thái chưa xác định, trong khi hồ sơ của ba lỗi còn lại đánh dấu cùng phiên bản đó là bị ảnh hưởng. Cả bốn đều đặt trạng thái sản phẩm mặc định là không bị ảnh hưởng, vì vậy một bản phát hành không có tên trong danh sách sẽ nằm ngoài nhóm bị ảnh hưởng.
ServiceNow mô tả CVE-2026-6876 là một vấn đề có thể cho phép người dùng chưa xác thực thực thi mã tùy ý trong Now Platform, trong khi vector CVSS mà họ gán cho chính lỗi đó lại chỉ định PR:L, hoặc yêu cầu đặc quyền thấp (low privileges required).
Vector đó cũng ghi nhận không có tác động đến các hệ thống bên ngoài thành phần bị lỗ hổng, không giống như ba lỗi được xếp hạng 10.0.
ServiceNow cho biết trong mỗi hồ sơ trong số bốn hồ sơ rằng họ hiện chưa biết về bất kỳ hoạt động khai thác nào. The Hacker News không tìm thấy mã khai thác công khai nào cho ba lỗ hổng nghiêm trọng tối đa tính đến ngày 28 tháng 8 năm 2026.
Searchlight Cyber vẫn chưa công bố bài viết kỹ thuật nào cho các lỗi được tiết lộ vào tháng 8 tại thời điểm viết bài. Adam Kues, một nhà nghiên cứu bảo mật tại công ty, đã viết vào tháng 7 rằng ServiceNow đang "tăng cường bảo mật instance bằng cách hạn chế nghiêm ngặt loại mã có thể chạy trong ngữ cảnh sandbox."
