ServiceNow-Kunden erhielten am Dienstag erneut die Aufforderung, CVE-2026-6875 zu schließen, nachdem ein Bedrohungsforscher Exploit-Versuche gegen die kritische Lücke in der AI Platform meldete. Defused Cyber beobachtete nach eigenen Angaben Aktivitäten im Internet. ServiceNow erklärte gegenüber SecurityWeek jedoch, die eigene Untersuchung habe keinen Zusammenhang mit Instanzen ergeben, die das Unternehmen selbst hostet.
Die Schwachstelle erreicht im CVSS-Standard 4.0 einen Wert von 9,5. Unter bestimmten Bedingungen kann ein nicht angemeldeter entfernter Nutzer Code ausführen. ServiceNow veröffentlichte die Kennung am 13. Juli, nachdem das Unternehmen bereits Fehlerbehebungen für betroffene Produktfamilien verteilt hatte. Gehostete Umgebungen erhielten Sicherheitsupdates; für selbst betriebene Systeme und Partner stehen Patches bereit.
Forscher beschreiben CVE-2026-6875 als Ausbruch aus einer eingeschränkten Umgebung zur Codeausführung. Searchlight Cyber meldete den Fehler nach eigenen Angaben am 1. April und warnte vor einer vollständigen Übernahme einer ServiceNow-Instanz sowie angebundener Proxyserver. Die NIST-Datenbank ordnet den Fehler einer mangelhaften Kontrolle bei der Codeerzeugung zu und nennt schwere Folgen für Vertraulichkeit, Integrität und Verfügbarkeit.
Öffentliche Analysen verbinden die beobachteten Anfragen mit einem Web-Endpunkt vor der Anmeldung und mit einem Machbarkeitsnachweis, der nach Bereitstellung der Patches erschien. Defused nahm zunächst eine Variante der veröffentlichten Methode an. Später korrigierte das Unternehmen diese Bewertung und erklärte, das Muster entspreche dem öffentlichen Nachweis. Angaben zu Tätern, Opfern oder einer bestätigten kriminellen Kampagne fehlen bislang.
Zu den bereinigten Ausgaben zählen Australia Patch 2, Yokohama Patch 12 Hot Fix 1b und Patch 13, Zurich Patch 7b und Patch 9 sowie Brazil EA und GA. Frühere Fassungen der jeweiligen Produktlinie bleiben betroffen. ServiceNow fordert gehostete und selbst betriebene Kunden zur Prüfung ihres Patchstands auf. Kanadische Cyberbehörden empfehlen ebenfalls die Installation der Aktualisierungen.
Sicherheitsteams sollten erreichbare selbst betriebene Systeme priorisieren, die installierte Produktfassung prüfen und Anwendungsprotokolle auf unerwartete Zugriffe auf die betroffene Schnittstelle untersuchen. Der Exploit-Bericht erhöht den Zeitdruck, doch die öffentlich verfügbaren Belege bleiben begrenzt. ServiceNow will Kunden weiter unterstützen, während Fachleute klären, ob feindliche Angriffe oder Sicherheitstests hinter der Aktivität stehen.
Kommentare