「ServiceNow」に複数のクリティカル脆弱性 - 修正版を公開

ServiceNowは、「Now Platform」や「ServiceNow AI Platform」に深刻な脆弱性が判明したとし、修正を行った。

同社は現地時間8月27日にセキュリティアドバイザリを公開。「CVE-2026-6876」「CVE-2026-18885」「CVE-2026-18886」「CVE-2026-74820」を明らかにした。

「CVE-2026-18885」は、「ServiceNow AI Platform」の「GraphQL Composite Data API」に確認されたコードインジェクションの脆弱性。一定条件下で認証なしに任意のコードを実行でき、インスタンスデータを参照、変更することが可能となる。

システム設定用画像のアップロード処理では、アクセス制御の不備に起因する脆弱性「CVE-2026-18886」が判明した。認証を必要とすることなく、データの作成や変更、権限昇格につながる可能性がある。

さらに認証なしに任意のSQLを実行し、基盤データベース上のデータへアクセスしたり、変更したりできるSQLインジェクション「CVE-2026-74820」が明らかとなっている。

（Security NEXT - 2026/08/28 ）ツイート