ServiceNow hat am 27. August 2026 ein Sicherheitsupdate veröffentlicht, das drei Schwachstellen mit dem höchstmöglichen Schweregrad von CVSS 10.0 schließt. Alle drei lassen sich laut Hersteller unter bestimmten Umständen von unauthentifizierten Angreifern ausnutzen – ohne Zugangsdaten, ohne Nutzerinteraktion und über das Netzwerk. Betroffen sind die weit verbreitete ServiceNow AI Platform und die Now Platform, die in zehntausenden Unternehmen als zentrale Workflow- und IT-Service-Management-Drehscheibe laufen.
Drei Wege zu Code, Daten und Datenbank
Die Lücke CVE-2026-18885 erlaubt über die GraphQL-Composite-Data-API die Ausführung beliebigen Codes. CVE-2026-18886 ermöglicht über einen Upload von Konfigurationsbildern das unbefugte Ändern von Instanzdaten und eine Rechteausweitung. CVE-2026-74820 ist eine SQL-Injection, mit der sich beliebige SQL-Befehle gegen die zugrunde liegende Datenbank absetzen lassen. Zusätzlich stopfte ServiceNow eine vierte Schwachstelle (CVE-2026-6876, CVSS 8.7), einen Sandbox-Ausbruch in der Now Platform. In Summe könnten Angreifer damit Instanzdaten auslesen, verändern oder Berechtigungen umgehen.
Diese Releases müssen gepatcht werden
ServiceNow hat die gehosteten Instanzen bereits selbst aktualisiert. Self-Hosted-Kunden und Partner müssen dagegen manuell tätig werden. Betroffen sind unter anderem folgende Release-Zweige:
- Xanadu vor Patch 11 Hot Fix 7a
- Yokohama vor Patch 12 Hot Fix 3b bzw. Patch 13 Hot Fix 4
- Zurich vor den jeweils aktualisierten Builds (u. a. Patch 7b Hot Fix 3)
- Australia vor Patch 2 Hot Fix 3
Noch keine Ausnutzung – aber die Uhr tickt
ServiceNow erklärte, bislang keine Kenntnis von aktiver Ausnutzung zu haben; öffentlicher Exploit-Code für die drei 10.0-Lücken ist ebenfalls nicht bekannt. Sicherheitsexperten warnen jedoch: Bei einer derart kritischen, unauthentifiziert ausnutzbaren Angriffsfläche ist mit Reverse-Engineering der Patches und schneller Exploit-Entwicklung zu rechnen. Administratoren sollten die relevanten Hot Fixes umgehend einspielen und ihre Instanzen auf verdächtige Zugriffe prüfen.
Quellen: ServiceNow Security Advisory, The Hacker News, CSO Online.
