La plateforme IA de ServiceNow victime d'une exploitation de faille critique

Points clés

• Les attaquants ont commencé à exploiter une faille critique de la plateforme IA ServiceNow, CVE-2026-6875, dans des attaques en direct à partir du vendredi 21 juillet 2023.
• ServiceNow gère plus de 100 milliards de flux de travail par an et est utilisé par 85 % des entreprises du Fortune 500.
• ServiceNow a publié des correctifs de sécurité le 13 juillet 2023, mais l'exploitation a commencé une semaine plus tard.
• Defused, une société de renseignement sur les menaces, a confirmé les attaques, initialement signalées par ThreatVectr.

Une faille de sécurité critique dans la plateforme IA ServiceNow, anciennement connue sous le nom de Now Platform, est actuellement exploitée par des cybercriminels. Cette faille, suivie sous le numéro CVE-2026-6875, permet aux attaquants de contourner l'authentification et d'exécuter leur propre code sur le serveur. En d'autres termes, les attaquants peuvent s'introduire dans le système sans avoir besoin d'un nom d'utilisateur ou d'un mot de passe, contrôlant potentiellement les données sensibles stockées à l'intérieur.

Le problème a d'abord été signalé par ThreatVectr, révélant que les attaquants ont commencé à cibler la faille le vendredi 21 juillet 2023. Cette nouvelle fait suite à la publication par ServiceNow de correctifs de sécurité le 13 juillet, destinés à remédier à la vulnérabilité. L'entreprise conseille à tous les clients utilisant des instances auto-hébergées d'appliquer ces mises à jour immédiatement.

L'entreprise de renseignement sur les menaces Defused a détecté ces attaques en nature, confirmant qu'elles correspondent à une faille de sécurité précédemment découverte sur la plateforme. Cette faille a d'abord été détectée par Searchlight Cyber, qui l'a signalée à ServiceNow le 1er avril. La faille permet aux attaquants d'exploiter une adresse web spécifique, /assessment_thanks.do, qui ne devrait pas accepter les commandes externes.

ServiceNow décrit l'attaque comme étant complexe et nécessitant de l'expertise pour être exécutée. Cependant, cela n'a pas dissuadé les attaquants d'essayer et de réussir. Malgré cette activité, l'avis public de ServiceNow indique actuellement qu'ils ne sont pas conscients de toute exploitation active contre ses instances, une déclaration qui doit encore être mise à jour avec les dernières conclusions.

Que doivent faire les entreprises utilisant ServiceNow ?

Si vous gérez une instance auto-hébergée de ServiceNow, appliquez immédiatement les correctifs de sécurité publiés le 13 juillet. Vérifiez vos journaux serveur pour détecter toute tentative d'accès anormale à /assessment_thanks.do, en particulier à partir du 21 juillet. Si vous détectez un accès non autorisé, envisagez de renouveler les identifiants ou les jetons API qui auraient pu être exposés. Pour ceux utilisant les services hébergés de ServiceNow, confirmez auprès de votre représentant de compte que le correctif a été appliqué et demandez une confirmation écrite de la date de sa mise en œuvre.

ServiceNow est un acteur majeur du logiciel d'entreprise, sa plateforme traitant plus de 100 milliards de flux de travail annuellement auprès de 85 % des entreprises du Fortune 500. La sécurité des dossiers de ressources humaines, des tickets informatiques, des détails d'approvisionnement et des journaux de service clientèle, entre autres informations sensibles, dépend fortement du maintien de l'intégrité de ces systèmes.

L'urgence d'agir ne peut pas être trop insistée. Les entreprises doivent s'assurer qu'elles sont protégées contre cette vulnérabilité pour préserver la sécurité de leurs opérations et de leurs données.