「ServiceNow」にクリティカル脆弱性 - 修正版が公開

業務管理プラットフォーム「ServiceNow AI Platform」に複数の脆弱性が判明した。9月以降のアップデートで対応したという。

ServiceNowは現地時間2026年10月29日、セキュリティアドバイザリを公開し、CVEベースで3件の脆弱性を明らかにした。このうち2件は「ServiceNow AI Platform」、1件は関連アプリケーション「Task Plan Templates」に確認された。アドバイザリの公表時点で悪用は確認されていない。

「CVE-2026-103093」は、スクリプト実行環境「Rhino」のサンドボックスによる制限を回避できる脆弱性。悪用には管理者権限を持つユーザーとしての認証が必要とされるが、ホストOS上で任意のコードを実行できる。

同社は共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.4」、重要度を「クリティカル（Critical）」と評価している。

また「CVE-2026-103094」は、ユーザーのパスワードが平文のままシステムテーブルに保存されるおそれがある脆弱性。閲覧権限のないユーザーにパスワードが漏洩する可能性がある。CVSS基本値は「7.1」、重要度は「高（High）」。

一方、「Task Plan Templates」に判明した「CVE-2026-6877」は、ドメイン間のアクセス制御を回避できる脆弱性。特定のロールを持つ認証済みユーザーが、本来アクセス権限のないドメインにレコードを作成できる。CVSS基本値を「5.3」、重要度を「中（Medium）」と評価している。

「ServiceNow AI Platform」の2件については、「Australia」「Zurich」「Yokohama」に向けて9月のアップデートなどで修正を実施した。「Task Plan Templates」については、「同2.0.0」以前の利用者に「同3.0.0」以降への更新を推奨している。

また特定条件のインスタンス更新時に導入される「同2.0.1」においても修正済みとしている。

（Security NEXT - 2026/10/30 ）ツイート

「ServiceNow」にクリティカル脆弱性 - 修正版が公開

関連リンク

PR

関連記事