Los clientes de ServiceNow recibieron este martes nuevos avisos para corregir CVE-2026-6875, una falla crítica de AI Platform, después de que una empresa de inteligencia informara de intentos de explotación. Defused Cyber afirmó que observó actividad en internet, aunque ServiceNow explicó a SecurityWeek que su investigación no vinculó esa actividad con instancias alojadas por la compañía.
La vulnerabilidad tiene una puntuación CVSS 4.0 de 9,5 y puede permitir que un usuario remoto sin autenticar ejecute código en determinadas circunstancias. ServiceNow la divulgó el 13 de julio tras distribuir soluciones para las familias de productos afectadas. La empresa actualizó los entornos alojados y entregó parches a clientes con instalaciones propias y a sus socios.
Los investigadores describen CVE-2026-6875 como una fuga de un entorno restringido para ejecutar código. Searchlight Cyber señaló que notificó el problema el 1 de abril y advirtió de que un ataque exitoso podría comprometer una instancia de ServiceNow y los servidores proxy conectados. La base del NIST relaciona la falla con un control incorrecto de la generación de código y contempla efectos graves para la confidencialidad, la integridad y la disponibilidad.
El análisis público relaciona las solicitudes observadas con un punto web anterior a la autenticación y con una prueba de concepto publicada después de aparecer los parches. Defused creyó primero que la carga capturada empleaba una variante del método divulgado, pero después corrigió su evaluación y dijo que la muestra coincidía con la prueba pública. No se conocen la identidad del operador, una lista de víctimas ni una campaña criminal confirmada.
Las versiones corregidas incluyen Australia Patch 2, Yokohama Patch 12 Hot Fix 1b y Patch 13, Zurich Patch 7b y Patch 9, además de Brazil EA y GA. Las ediciones anteriores al lanzamiento correspondiente siguen afectadas. ServiceNow recomienda comprobar el nivel de parche tanto en servicios alojados como propios, y las autoridades canadienses de ciberseguridad también aconsejan instalar las actualizaciones.
Los equipos de seguridad deben priorizar los sistemas propios expuestos, confirmar la versión instalada y revisar los registros para detectar tráfico inesperado hacia la interfaz afectada. El informe de explotación eleva la urgencia, pero las pruebas disponibles aún son limitadas. ServiceNow seguirá ayudando a sus clientes mientras los investigadores determinan si la actividad procede de ataques hostiles o de pruebas de seguridad.
Comentarios