ServiceNow vá lỗi nghiêm trọng trên AI Platform/Now Platform
"ServiceNow patched four vulnerabilities in its AI Platform/Now Platform, including three CVSS 10.0 flaws that could allow unauthenticated attackers to execute arbitrary code, perform SQL injection, or modify instance data. The issues are tracked as CVE-2026-18885, CVE-2026-18886, CVE-2026-74820, and CVE-2026-6876; ServiceNow deployed fixes for hosted instances and provided patches for self-hosted customers, with no public exploit code reported for the new 10.0 issues at the time of publication."
3 lỗ hổng CVSS 10.0 có thể cho phép thực thi mã từ xa, SQL injection và sửa đổi dữ liệu; rủi ro cao với cả hosted lẫn self-hosted instances.
Nguy cơ gián đoạn dịch vụ và ảnh hưởng tính toàn vẹn dữ liệu nếu chưa vá kịp thời; có thể phát sinh chi phí xử lý sự cố và kiểm tra tuân thủ.
ServiceNow đã phát hành bản vá cho 4 lỗ hổng bảo mật ảnh hưởng đến ServiceNow AI Platform/Now Platform, trong đó có 3 lỗi CVSS 10.0 có thể bị khai thác bởi kẻ tấn công chưa xác thực trong một số điều kiện nhất định. Các vấn đề được theo dõi dưới mã CVE-2026-18885, CVE-2026-18886, CVE-2026-74820 và CVE-2026-6876.
Ba lỗi nghiêm trọng nhất có thể dẫn đến thực thi mã tùy ý, SQL injection hoặc sửa đổi dữ liệu instance. Lỗi còn lại là sandbox escape trên Now Platform, được chấm CVSS 8.7. Theo thông báo, ServiceNow đã triển khai bản cập nhật cho hosted instances và cung cấp bản vá cho self-hosted customers; với môi trường tự quản trị, tổ chức cần tự áp dụng bản vá.
Các phiên bản bị ảnh hưởng gồm Xanadu, Yokohama, Zurich và Australia theo các mốc patch/hot fix được nêu trong khuyến cáo. Tại thời điểm công bố, ServiceNow cho biết chưa ghi nhận khai thác công khai đối với ba lỗi CVSS 10.0 mới.
Khuyến nghị: kiểm tra ngay phiên bản đang chạy, đối chiếu với advisory ngày 27/08/2026, ưu tiên áp dụng bản vá cho mọi instance, và rà soát nhật ký để phát hiện dấu hiệu truy cập trái phép hoặc thay đổi dữ liệu bất thường.