Los investigadores de seguridad han publicado detalles técnicos del exploit para CVE-2026-6875, una vulnerabilidad crítica de ServiceNow AI Platform que puede permitir la ejecución remota de código no autenticado. ServiceNow ya actualizó sus entornos alojados y lanzó correcciones de seguridad para clientes y socios autohospedados.
La vulnerabilidad recibió una puntuación CVSS v4.0 de 9,5. Según elAviso de seguridad de ServiceNow KB3137947, un atacante no autenticado podría ejecutar código dentro de la plataforma en determinadas circunstancias. Los clientes que administran sus propias instancias deben confirmar que han instalado una versión corregida.
Los investigadores del equipo Assetnote de Searchlight Cyber demostraron cómo un atacante podría pasar de una consulta de autenticación previa a la ejecución de código fuera del entorno limitado de secuencias de comandos de ServiceNow. SuInvestigación de zona de pruebas de ServiceNowincluye suficientes detalles técnicos para que la aplicación rápida de parches sea una prioridad.
¿Qué es CVE-2026-6875?
CVE-2026-6875 es una vulnerabilidad de inyección de código y escape de zona de pruebas en ServiceNow AI Platform. El problema afecta el procesamiento de JavaScript del lado del servidor asociado con expresiones de consulta controladas por el usuario.
ElEntrada de la base de datos nacional de vulnerabilidadesclasifica la debilidad como CWE-94, o control inadecuado sobre la generación de código. Su ruta de ataque accesible en red no requiere privilegios ni interacción del usuario, aunque ServiceNow califica la complejidad del ataque como alta.
Una explotación exitosa podría brindarle a un atacante amplio acceso a una instancia comprometida de ServiceNow. Los investigadores dijeron que el contexto de secuencias de comandos resultante podría leer datos de tablas de plataforma, crear cuentas de administrador e interactuar con servidores MID conectados.
| Detalle de vulnerabilidad | Información |
|---|---|
| identificador CVE | CVE-2026-6875 |
| Producto afectado | Plataforma de IA ServiceNow |
| Tipo de vulnerabilidad | Inyección de código y escape de sandbox |
| Impacto máximo | Ejecución remota de código no autenticado |
| Puntuación CVSS v4.0 | 9.5, crítico |
| Privilegios requeridos | Ninguno |
| Interacción del usuario | Ninguno |
| Explotación conocida | No confirmado por ServiceNow |
Cómo funciona ServiceNow Sandbox Escape
El ataque comienza con la API GlideRecord de ServiceNow, que las aplicaciones utilizan para consultar datos almacenados en tablas de la plataforma. Assetnote encontró rutas de aplicaciones de autenticación previa donde los valores controlados por el usuario alcanzaban las funciones de consulta de GlideRecord.
Algunos valores de consulta de ServiceNow pueden contener unjavascript:expresión. La plataforma evalúa la expresión antes de utilizar su resultado en una consulta de base de datos. ServiceNow colocó estas expresiones dentro de un entorno limitado de secuencias de comandos restringido diseñado para evitar el acceso a métodos confidenciales, clases Java y la ejecución de código sin restricciones.
La zona de pruebas bloquea capacidades como la transmisión directaevalllamadas, construcción de funciones dinámicas y declaraciones de funciones arbitrarias. También restringe el acceso a la base de datos para usuarios no autenticados. Inicialmente, esos controles evitan que una expresión de consulta cause un compromiso significativo.
El guión incluye una ruta de escape
Los investigadores encontraron que lo permitidogs.include()El método podría cargar ServiceNow Script Incluye. Estas bibliotecas reutilizables del lado del servidor se evaluaron a través de un contexto que no aplicaba todas las restricciones impuestas a la expresión de consulta original.
Al modificar las propiedades globales de JavaScript utilizadas por un script incluido, los investigadores redirigieron el comportamiento normal de objetos y funciones. Su técnica provocó que el JavaScript controlado por el atacante se compilara durante el proceso de inclusión de secuencias de comandos y luego se ejecutara fuera del entorno limitado, más restrictivo.
El publicadoAnálisis técnico de la nota de activomuestra cómo los investigadores combinaron constructores de funciones, propiedades de objetos alteradas y un Script Include seleccionado para lograr una ejecución sin espacio aislado. El mismo informe dice que el equipo reveló la vulnerabilidad a ServiceNow el 1 de abril de 2026.
Por qué los servidores MID aumentan el impacto potencial
El acceso sin espacio aislado al entorno JavaScript Rhino de ServiceNow puede exponer potentes API internas. Según los investigadores, un atacante podría recuperar registros de las tablas de la plataforma y crear usuarios administrativos.
El ataque también podría alcanzar los servidores MID de ServiceNow configurados. Las organizaciones suelen colocar estos servidores dentro de redes privadas para que ServiceNow pueda comunicarse con aplicaciones internas, bases de datos, objetivos de descubrimiento y sistemas de gestión de infraestructura.
Por lo tanto, una instancia comprometida podría convertirse en un punto de entrada a entornos corporativos conectados. El impacto disponible depende de los permisos, el acceso a la red y las credenciales configuradas de cada servidor MID, pero el alcance potencial hace que la vulnerabilidad sea especialmente grave para las grandes empresas.
- Acceda a los datos almacenados en las tablas de ServiceNow
- Crear o modificar cuentas privilegiadas
- Cambiar flujos de trabajo y configuraciones de plataforma
- Utilice las capacidades configuradas del servidor MID
- Acceder a recursos internos accesibles a un servidor MID
- Interrumpir los procesos de negocio dependientes de ServiceNow
Instancias alojadas parcheadas de ServiceNow
ServiceNow dijo que implementó una actualización de seguridad en las instancias alojadas. La empresa también proporcionó parches a clientes y socios autohospedados, quienes deben verificar su propio estado de implementación.
el vendedorAviso CVE-2026-6875enumera correcciones en las familias de versiones de Brasil, Australia, Zurich y Yokohama. Los administradores deben utilizar la versión que se aplica a su rama actual en lugar de tratar las versiones enumeradas como una secuencia de actualizaciones.
ElRegistro CVE-2026-6875dice que ServiceNow no estaba al tanto de la explotación contra instancias de clientes cuando se publicó la divulgación. Sin embargo, la disponibilidad de investigaciones detalladas sobre exploits brinda a los atacantes más información para desarrollar sondas automatizadas.
| Familia de versiones de ServiceNow | Versión fija enumerada por ServiceNow |
|---|---|
| Brasil | Brasil EA o Brasil GA |
| Australia | Parche australiano 2 |
| Zúrich | Parche Zurich 7b o Parche Zurich 9 |
| Yokohama | Yokohama Parche 12 Hot Fix 1b o Yokohama Parche 13 |
La secuencia de comandos protegida agrega restricciones más estrictas
ServiceNow también introdujo protecciones de Guarded Script para reducir la cantidad de sintaxis de JavaScript permitida en expresiones de espacio aislado. El cambio limita los scripts que no son de confianza a una expresión única y simple.
la empresaDocumentación de script guardadoexplica que las variables, asignaciones, bucles, declaraciones de flujo de control, declaraciones de funciones y declaraciones múltiples ya no se admiten en contextos protegidos.
Las aplicaciones personalizadas que dependían de secuencias de comandos complejas en el espacio aislado pueden requerir cambios una vez habilitada la protección. Los administradores deben revisar los scripts incompatibles y trasladar la lógica compleja legítima a scripts incluidos debidamente controlados.
- Declaraciones de variables como
var,letyconstestán restringidos. - Declaraciones de flujo de control como
if,switch,forywhileestán restringidos. - No se aceptan declaraciones de funciones.
- Los operadores de asignación no son compatibles.
- Sólo se permite una expresión simple por secuencia de comandos protegida.
Qué deben hacer los administradores de ServiceNow
Los clientes y socios autohospedados deben comparar inmediatamente su versión instalada con las versiones reparadas. Los clientes alojados aún deben confirmar el estado de su instancia a través del soporte de ServiceNow y revisar si las aplicaciones personalizadas requieren cambios en Guarded Script.
Los equipos de seguridad deben investigar la creación inesperada de un administrador, el acceso inusual a las tablas, los cambios en las inclusiones de secuencias de comandos y la actividad sospechosa que involucre a los servidores MID. También deben revisar los registros y las credenciales de integración que cubren el período anterior a que su instancia recibiera la mitigación.
Las siguientes acciones pueden reducir el riesgo inmediato:
- Confirme que cada instancia de ServiceNow AI Platform ejecute una versión fija.
- Revisa elGuía de script guardadoy resolver scripts personalizados incompatibles.
- Auditar cuentas de administrador creadas o modificadas durante el período de exposición.
- Revisar script incluye reglas de control de acceso y cambios en el flujo de trabajo.
- Inspeccione la actividad del servidor MID en busca de comandos inesperados o conexiones salientes.
- Rote las credenciales si los registros indican acceso no autorizado a integraciones o servicios internos.
- Limite los privilegios del servidor MID y el acceso a la red solo a los sistemas requeridos.
Preguntas frecuentes
¿Qué es CVE-2026-6875?
CVE-2026-6875 es una vulnerabilidad crítica de inyección de código y escape de espacio aislado en ServiceNow AI Platform. En determinadas circunstancias, puede permitir que un atacante remoto no autenticado ejecute código dentro de una instancia vulnerable.
¿Cuál es la puntuación CVSS para CVE-2026-6875?
ServiceNow asignó a CVE-2026-6875 una puntuación CVSS v4.0 de 9,5, lo que lo sitúa en la categoría de gravedad crítica.
¿CVE-2026-6875 requiere autenticación?
No. El ataque documentado se puede realizar sin una cuenta autenticada o interacción del usuario, aunque ServiceNow califica la complejidad del ataque como alta.
¿Se ha explotado CVE-2026-6875 en estado salvaje?
ServiceNow dijo que no tenía conocimiento de explotación contra instancias de clientes cuando publicó el aviso. Hay disponible una investigación pública detallada, por lo que los administradores deben parchear sin esperar ataques confirmados.
¿Qué versiones de ServiceNow solucionan CVE-2026-6875?
Las versiones corregidas enumeradas incluyen Brasil EA o GA, Australia Patch 2, Zurich Patch 7b o Patch 9 y Yokohama Patch 12 Hot Fix 1b o Patch 13. Los clientes deben instalar la versión adecuada para su sucursal actual.