ServiceNow ha publicado parches de seguridad para tres nuevas vulnerabilidades de severidad máxima en su plataforma de IA, que podrían ser explotadas en ataques de inyección de código, inyección SQL y escalada de privilegios. La plataforma de IA de ServiceNow (anteriormente conocida como Now Platform) es un servicio de plataforma empresarial (PaaS) que integra IA en flujos de trabajo corporativos y respalda más de 100.000 aplicaciones de IA en el 85% de las empresas Fortune 500.
En un aviso emitido el jueves, la compañía indicó que ha corregido su plataforma en la nube contra tres fallos críticos de seguridad (CVE-2026-18885, CVE-2026-18886 y CVE-2026-74820) y recomendó a los clientes asegurar sus instancias autogestionadas.
El primer fallo es una vulnerabilidad de inyección de código que permite a los atacantes ejecutar código arbitrario; el segundo se deriva de una debilidad de inyección de código que habilita la escalada de privilegios; y el tercero permite a los actores de amenazas acceder o modificar datos de la instancia mediante ataques de inyección SQL. Las tres vulnerabilidades pueden ser explotadas por atacantes no autenticados en ataques de baja complejidad que no requieren interacción del usuario.
Además, el jueves ServiceNow también abordó un problema de escape de sandbox de alta severidad (CVE-2026-6876) que afecta a la misma plataforma, el cual podría permitir a atacantes con privilegios básicos obtener ejecución remota de código en sistemas específicos. La compañía afirmó: "Actualmente no tenemos conocimiento de explotación maliciosa contra instancias de ServiceNow. Recomendamos a los clientes aplicar las actualizaciones apropiadas o actualizar a una versión parcheada si aún no lo han hecho".
Aunque ServiceNow no ha señalado que estas vulnerabilidades estén siendo explotadas activamente, en los últimos años se han registrado ataques contra múltiples fallos de sus productos. Hace dos años, actores de amenazas encadenaron tres vulnerabilidades de ServiceNow (CVE-2024-4879, CVE-2024-5178 y CVE-2024-5217) utilizando exploits disponibles públicamente para comprometer empresas privadas y agencias gubernamentales en todo el mundo. Más recientemente, en julio, la firma de inteligencia de amenazas Defused informó que los atacantes ahora explotan otra vulnerabilidad crítica (CVE-2026-6875), un escape de sandbox pre-autenticación en la plataforma de IA de ServiceNow.
ServiceNow también ha divulgado de forma privada un incidente de seguridad el mes pasado, en el que investigadores de seguridad o investigaciones lideradas por clientes utilizaron una falla de acceso no autenticado a través de un endpoint de API vulnerable para consultar datos de instancias de clientes.
Deja una respuesta