OWN NEWS GATHER
← 戻る
The Hacker News

ServiceNow、AIプラットフォームの重大な脆弱性4件に対処　未認証でコード実行が可能なCVSS 10.0の欠陥も

要点

  • ServiceNowは、同社の「ServiceNow AI Platform」に存在する4件のセキュリティ脆弱性を修正するパッチを公開した。

  • 修正された脆弱性のうち3件は、共通脆弱性評価システム（CVSS）の深刻度スコアで最高値となる「10.0」と評価されている。

  • これらの重大な脆弱性を悪用されると、認証を受けていない外部の攻撃者によって任意のコードやSQLを実行される恐れがある。

  • クラウド提供のインスタンスには修正が適用済みだが、オンプレミスなど自社環境で運用する顧客には手動でのアップデート適用が求められている。

  • クラウド型ITサービス大手の米ServiceNowは2026年8月27日、同社の業務自動化基盤「ServiceNow AI Platform」に関するセキュリティアドバイザリを公開し、4件の脆弱性に対する修正プログラムをリリースした。

  • 公表された欠陥のうち3件は、脆弱性の深刻度を評価する「CVSS」スコアで最高値の10.0と判定されており、特定の条件下において未認証の第三者が遠隔から悪用できる状態にあったという。同社はホスト型のインスタンスに対してすでに修正を適用したことを明かす一方、自社で環境をホストしている顧客やパートナーに対して速やかなパッチ適用を呼びかけている。

修正された4件の脆弱性と想定されるリスク

今回のアドバイザリで修正が公表された脆弱性は以下の4件である。

  • CVE-2026-18885（CVSSスコア: 10.0）：GraphQL Composite Data APIにおけるコードインジェクションの脆弱性。悪用されると、認証を受けていない攻撃者が任意のコードを実行し、インスタンス内のデータへのアクセスや改変を行う恐れがある。
  • CVE-2026-18886（CVSSスコア: 10.0）：システム設定の画像アップロード処理機能における不適切なアクセス制御の脆弱性。未認証のユーザーがインスタンスのデータを作成・変更できるようになり、結果として権限を不正に引き上げる特権昇格につながる可能性がある。
  • CVE-2026-74820（CVSSスコア: 10.0）：動的スキーマのORDER BY句を経由するSQLインジェクション（不正なデータベース操作命令を注入する攻撃手法）の脆弱性。未認証の攻撃者が、インスタンスの基盤データベースに対して任意のSQL文を実行できるリスクがある。
  • CVE-2026-6876（CVSSスコア: 8.7）：基盤であるNow Platformにおけるサンドボックス（プログラムの実行を制限・隔離する安全領域）回避の脆弱性。未認証の攻撃者が任意のコードを実行できる恐れがあるとされる。

最高深刻度と評価された3件（CVE-2026-18885、CVE-2026-18886、CVE-2026-74820）は、いずれもCVSS v4.0のベクトルとして同一の評価（CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）が割り当てられている。これは、ネットワーク経由で到達可能であり、攻撃の複雑さが低く、事前の権限や利用者の操作を一切必要としないことを意味している。さらに、脆弱性のあるコンポーネントだけでなく、接続された後続システムに対しても機密性・完全性・可用性のすべてに極めて高い影響を及ぼすと定義されている。

ベンダー独自算定によるCVSSスコアと評価の背景

今回のCVSSスコア「10.0」という評価は、ServiceNow自身が算定した数値となっている。同社は自社製品に関する脆弱性情報を管理する「CVE採番機関（CNA）」の資格を有している。

米国立標準技術研究所（NIST）は2026年4月15日以降、脆弱性情報の詳細評価（エンリッチメント）の対象を絞り込んでおり、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の「悪用が確認された脆弱性カタログ（KEV）」に掲載されたもの、連邦政府向けソフトウェア、または大統領令14028号に基づき重要と指定されたものに限定している。

今回の4件の脆弱性はいずれも、2026年8月28日時点ではCISAのKEVカタログには登録されておらず、公的に記録されている深刻度評価はServiceNow独自のもののみとなっている。

なお、同社は最高評価の3件について攻撃の複雑さを「低（Low）」と判定している。これに対し、7月に公開された別のサンドボックス回避の脆弱性では、他の評価項目が同一でありながら攻撃の複雑さが「高（High）」とされたため、スコアは9.5となっていた。今回の脆弱性は、より容易に攻撃が成立するリスクを孕んでいると評価された形だ。

7月公表の脆弱性「CVE-2026-6875」を巡る経緯と公式見解

今回の修正発表は、同じプラットフォームで事前認証なしのサンドボックス回避が可能とされていた脆弱性「CVE-2026-6875」の開示に続くものとなる。この欠陥は2026年4月1日にセキュリティ企業のSearchlight CyberによってServiceNowへ報告され、同社は7月13日にアドバイザリを公開していた。

その後、脅威インテリジェンス企業Defusedが7月のアドバイザリ公開直後に実環境での悪用を観測したと発表したものの、後に検知したペイロードがSearchlight Cyberの公開したPoC（概念実証コード）と一致していたとして訂正を出している。

ServiceNowの広報担当者はThe Hacker Newsの取材に対し、「CVE-2026-6875に関してセキュリティ企業が発表した活動については認識しているが、これまでの調査において、この活動が同社がホストするインスタンスに関連している証拠は確認されていない」と回答した。あわせて、「修正パッチを提供しており、未適用の顧客に対して適用を推奨するとともに、適用に支援が必要な顧客とは直接連携を続けていく」と説明している。

影響を受けるバージョンとパッチの適用要件

ServiceNowが8月のアドバイザリで公表した情報によると、以下のバージョンファミリーが影響を受ける対象として挙げられている。

  • Xanadu：Patch 11 Hot Fix 7a より前のすべてのバージョン
  • Yokohama：Patch 12 Hot Fix 3b より前のバージョン、および Patch 13 Hot Fix 4 より前のすべてのバージョン
  • Zurich：Patch 7b Hot Fix 3、Patch 8 Hot Fix 5、Patch 9 Hot Fix 6、Patch 10 Hot Fix 2m（mブランチ）、Patch 10 Hot Fix 3（標準ブランチ）、Patch 11、Patch 12 より前のすべてのバージョン
  • Australia：Patch 2 Hot Fix 3、Patch 3 Hot Fix 2、Patch 3m、Patch 4、Patch 5 より前のすべてのバージョン

なお、CVE-2026-18886のレコードにおいては「Australia Patch 5より前」の状態が「未知（unknown）」と記載されているが、他の3件では同バージョンが影響対象として明記されている。また、4件とも一覧に記載のないリリースについては既定で影響を受けないと定義されている。

クラウド上でServiceNowが直接ホストしている環境にはすでにパッチが適用されているが、オンプレミスなど自社インフラで運用を行っている組織については、管理者自身による修正プログラムの手動適用が不可欠となる。

元URL