Martedì i clienti ServiceNow hanno ricevuto un nuovo invito ad applicare le correzioni per CVE-2026-6875, una falla critica dell’AI Platform, dopo la segnalazione di tentativi di sfruttamento. Defused Cyber ha riferito di avere già osservato attività su internet; ServiceNow, però, ha spiegato a SecurityWeek che l’indagine non ha collegato tale attività alle istanze ospitate direttamente dalla società.
La vulnerabilità ha un punteggio CVSS 4.0 pari a 9,5 e può consentire a un utente remoto non autenticato di eseguire codice in determinate circostanze. ServiceNow l’ha resa pubblica il 13 luglio, dopo avere distribuito le soluzioni alle famiglie di prodotti interessate. L’azienda ha già aggiornato gli ambienti ospitati e ha fornito patch ai clienti con sistemi autonomi e ai partner.
I ricercatori descrivono CVE-2026-6875 come un’evasione da un ambiente limitato per l’esecuzione di codice. Searchlight Cyber ha dichiarato di aver segnalato il problema il 1° aprile e ha avvertito che un attacco riuscito può compromettere un’istanza ServiceNow e i proxy collegati. Il database NIST associa la falla a un controllo improprio della generazione di codice, con gravi effetti possibili su riservatezza, integrità e disponibilità.
L’analisi pubblica collega le richieste osservate a un’interfaccia web accessibile prima dell’autenticazione e a una dimostrazione tecnica pubblicata quando le patch erano già disponibili. Defused riteneva inizialmente che il campione seguisse una variante del metodo noto; più tardi ha corretto la valutazione perché il contenuto coincideva con la prova pubblica. Non è nota né l’identità degli operatori né una lista di vittime, e non c’è ancora una campagna criminale confermata.
Le versioni corrette sono Australia Patch 2, Yokohama Patch 12 Hot Fix 1b e Patch 13, Zurich Patch 7b e Patch 9, oltre a Brazil EA e GA. Le edizioni precedenti alla correzione pertinente sono vulnerabili. ServiceNow invita i clienti ospitati e autonomi a verificare subito il livello delle patch; anche le autorità canadesi di cybersicurezza raccomandano di installare gli aggiornamenti.
I responsabili della sicurezza dovranno dare priorità ai sistemi autonomi esposti, verificare la versione installata e controllare i registri per rilevare traffico anomalo verso l’interfaccia interessata. La possibilità di sfruttamento accresce l’urgenza, però le prove pubbliche sono ancora limitate. ServiceNow continuerà ad assistere i clienti affinché le correzioni siano operative, mentre gli analisti chiariranno se l’attività è ostile oppure è legata a test di sicurezza.
Commenti