Les clients de ServiceNow ont reçu mardi de nouveaux appels à corriger CVE-2026-6875, une faille critique de l’AI Platform, après le signalement de tentatives d’exploitation. Defused Cyber a indiqué avoir observé une activité sur internet, tandis que ServiceNow a précisé à SecurityWeek que son enquête n’avait relié cette activité à aucune instance hébergée par l’entreprise.
La vulnérabilité affiche un score CVSS 4.0 de 9,5 et peut permettre à un utilisateur distant non authentifié d’exécuter du code dans certaines conditions. ServiceNow l’a dévoilée le 13 juillet après avoir diffusé des correctifs dans les familles de produits concernées. Le groupe a mis à jour les environnements hébergés et fourni des correctifs aux clients auto-hébergés et à ses partenaires.
Les chercheurs présentent CVE-2026-6875 comme une évasion d’un environnement restreint d’exécution de code. Searchlight Cyber a déclaré avoir signalé le problème le 1er avril et averti qu’une attaque réussie pourrait compromettre une instance ServiceNow ainsi que les serveurs mandataires connectés. La base du NIST associe la faille à un contrôle inadéquat de la génération de code, avec de lourdes conséquences possibles pour la confidentialité, l’intégrité et la disponibilité.
L’analyse publique relie les requêtes observées à une interface web accessible avant authentification et à une démonstration technique publiée après la disponibilité des correctifs. Defused pensait d’abord que la charge détectée suivait une variante de la méthode publique, puis a rectifié son analyse en affirmant que l’échantillon correspondait à cette démonstration. Aucun attaquant, aucune liste de victimes et aucune campagne criminelle confirmée n’ont été révélés.
Les versions corrigées comprennent Australia Patch 2, Yokohama Patch 12 Hot Fix 1b et Patch 13, Zurich Patch 7b et Patch 9, ainsi que Brazil EA et GA. Les versions antérieures à la correction correspondante restent vulnérables. ServiceNow demande à tous ses clients de vérifier leur niveau de mise à jour, et les autorités canadiennes de cybersécurité recommandent également d’installer les correctifs.
Les équipes de sécurité doivent traiter en priorité les systèmes auto-hébergés exposés, confirmer la version installée et examiner les journaux à la recherche d’un trafic inhabituel vers l’interface concernée. Le signalement accroît l’urgence, mais les preuves publiques restent limitées. ServiceNow continuera d’aider ses clients pendant que les analystes cherchent à déterminer s’il s’agit d’attaques hostiles ou de tests de sécurité.
Commentaires