Il 13 luglio ServiceNow ha pubblicato le correzioni per la CVE-2026-6875, una vulnerabilità con gravità 9,5 nella piattaforma che moltissime aziende usano per gestire ticket, processi IT e servizi interni. Cinque giorni dopo sono comparsi i primi attacchi contro istanze non aggiornate.
ServiceNow permette di usare espressioni JavaScript nei filtri delle query, eseguite in una sandbox con permessi limitati. Il problema è che alcune pagine accessibili senza login passavano l’input degli utenti direttamente a questo meccanismo. Combinando questo comportamento con una tecnica per uscire dalla sandbox, un attaccante anonimo esegue codice sulla piattaforma: può leggere qualsiasi tabella, creare utenti amministratori, lanciare comandi sui server collegati.
Il cloud era già protetto
Le istanze ospitate da ServiceNow sono state messe al sicuro già ad aprile, poco dopo la segnalazione. Quelle installate in proprio o gestite da partner, invece, restano vulnerabili finché qualcuno non le aggiorna. Le versioni corrette sono Australia Patch 2, Brazil EA/GA, Zurich Patch 7b e Patch 9, Yokohama Patch 12 Hot Fix 1b e Patch 13.
È un paradosso che si ripete: chi tiene il software in casa per avere più controllo finisce per essere il più lento a proteggersi. Tre mesi di vantaggio per il cloud, cinque giorni di margine per tutti gli altri.
Dopo la pubblicazione dei dettagli tecnici e di un exploit dimostrativo, i sistemi esca di una società di threat intelligence hanno registrato dal 17 luglio richieste malevole contro la pagina vulnerabile, con la tecnica resa pubblica. ServiceNow, nel suo avviso, dichiara di non essere a conoscenza di sfruttamenti contro istanze dei clienti. Le due cose non si contraddicono per forza: i sistemi esca vedono i tentativi, non i successi.
Una piattaforma come ServiceNow contiene dati su dipendenti, clienti e infrastruttura, e spesso le credenziali con cui si integra ad altri sistemi. Chi la controlla ha in mano una mappa dell’azienda e un mazzo di chiavi.
Se gestisci un’istanza in proprio, installa subito la versione corretta per la tua release. Poi cerca nei log le richieste anonime verso /assessment_thanks.do con parametri che contengono javascript:.
Controlla anche se sono stati creati di recente utenti amministratori e se script e integrazioni sono stati modificati senza un motivo noto. Se trovi segni di compromissione, ruota le credenziali delle integrazioni salvate sulla piattaforma.
