ServiceNow の 4件の脆弱性が FIX：未認証のコード実行や SQLi の恐れ

ServiceNow Patches Critical Flaws Enabling Unauthenticated RCE and SQL Injection

2026/08/28 gbhackers — ServiceNow が公表したのは、AI プラットフォームの重大な脆弱性を含む 4 件の脆弱性 CVE-2026-6876／CVE-2026-18885／CVE-2026-18886／CVE-2026-74820 を修正するセキュリティ・アドバイザリである。これらの脆弱性を悪用する未認証の攻撃者は、任意のコード実行／インスタンス・データの操作／権限昇格／基盤となるデータベースに対する SQL コマンドの実行などを可能にする。2026年8月27日に同社は、これら 4 件の脆弱性を対象とする KB3152242 を公開した。

ServiceNow によると、社内のセキュリティ研究者や責任ある情報開示プログラムからの調査結果を受け、それぞれの問題が修正された。悪用に関する詳細な技術情報は限定されているが、このアドバイザリでは、意図された認可の範囲を超えるアクセスにつながる攻撃経路が説明されている。顧客に求められるのは、使用しているバージョンを確認した上で、すべての本番インスタンスに対して必要なアップデートを適用することだ。

ServiceNow が重大な脆弱性を修正

最も深刻な脆弱性 CVE-2026-18885／CVE-2026-18886 は、CVSS v4.0 Calculator で深刻度 Critical と評価されている、ServiceNow AI プラットフォームのコード・インジェクションの欠陥である。CVE-2026-18885 を悪用する未認証の攻撃者は、特定の状況下において ServiceNow プラットフォーム上で任意のコードを実行し、意図された制御範囲を超えたインスタンス・データに対してアクセス／変更を行う可能性がある。その一方で、脆弱性 CVE-2026-18886 を悪用する攻撃者は、インスタンス・データの不正な作成／変更を達成し、権限昇格を引き起こす恐れがある。

この 2 件は、いずれも重大な影響を引き起こす可能性がある。前者は直接的なコード実行となるが、後者は不正なデータ操作による実効権限の拡大に至る点が異なる。いずれの場合も、迅速な修正を行った上で、プラットフォームのアクセスログに対する慎重な確認が必要となる。

3 つ目の脆弱性 CVE-2026-74820 も Critical と評価されている、ServiceNow AI プラットフォームの SQL インジェクションの脆弱性である。特定の状況下では、未認証のユーザーがインスタンスの基盤となるデータベースに対して、任意の SQL 文を実行する可能性があると ServiceNow は警告している。悪用に成功した攻撃者は、意図されたアクセス範囲を超えたデータの露出／変更を引き起こし、機密性／完全性を損なうとともに、ビジネス・ワークフローの運用に重大なリスクを招く可能性がある。

4 つ目の脆弱性 CVE-2026-6876 (High) は、Now Platform 内のサンドボックス・エスケープに関する問題であり、未認証の攻撃者による任意のコード実行を可能にするため、意図された範囲を超えたアクセスに至る恐れがある。サンドボックス・エスケープにより、信頼されていないコードの実行を封じ込める目的で設計された、分離の制御が損なわれるため、重大な影響につながる可能性がある。

ServiceNow によると、Patching Program に登録している顧客に対しては、すでに必要なアップデートが提供済みである。修正済みビルドには、Xanadu Patch 11 Hot Fix 7a／Yokohama Patch 12 Hot Fix 3b／Yokohama Patch 13 Hot Fix 4／Zurich Patch 7b Hot Fix 3〜Patch 12 までの、複数の Zurich リリース／Australia Patch 2〜Patch 5 が含まれる。

組織に求められるのは、使用しているインスタンスのバージョンを確認し、該当するアップデートが適用されていることを確認することだ。管理者は、展開済みバージョンをアドバイザリと照合し、必要なパッチまたはホットフィックスを速やかに適用すべきである。

さらに、管理者に求められるのは、インターネットからアクセス可能な AI 機能の露出の評価である。セキュリティ・チームにとって必要なことは、認証ログ／データベース・アクティビティ／インスタンス・レコードの異常な変更／特権操作などを調査し、悪用の試行を示す兆候を確認することだ。

ServiceNow の AI プラットフォームや Now Platform において、認証を経ない攻撃者による任意のコード実行や SQL インジェクションの欠陥が発見されました。CVE-2026-6876／CVE-2026-18885／CVE-2026-18886／CVE-2026-74820 に分類される一連の脆弱性は、データベースに対する任意の SQL 文の実行／不正なデータ操作／権限昇格／サンドボックスの回避といった深刻な問題を引き起こす可能性があります。該当するシステム環境への影響を防止するために、運用中のインスタンスにおける展開済みのバージョン確認／公式パッチの迅速な適用／各種ログに対する異常なアクティビティの調査が強く求められます。