Piattaforma ServiceNow AI colpita dallo sfruttamento di una grave vulnerabilità di sicurezza

Punti chiave

• Gli attaccanti hanno iniziato a sfruttare una falla critica della piattaforma ServiceNow AI, CVE-2026-6875, in attacchi live a partire da venerdì 21 luglio 2023.
• ServiceNow gestisce più di 100 miliardi di flussi di lavoro all'anno ed è utilizzato dall'85% delle aziende Fortune 500.
• ServiceNow ha rilasciato patch di sicurezza il 13 luglio 2023, ma lo sfruttamento è iniziato una settimana dopo.
• Defused, un'azienda di threat intelligence, ha confermato gli attacchi, inizialmente segnalati da ThreatVectr.

Una falla di sicurezza critica nella piattaforma ServiceNow AI, precedentemente nota come Now Platform, è attualmente soggetta a sfruttamento attivo da parte di criminali informatici. Questa falla, tracciata come CVE-2026-6875, consente agli attaccanti di aggirare l'autenticazione ed eseguire il proprio codice sul server. In termini più semplici, gli attaccanti possono introdursi nel sistema senza necessitare di nome utente o password, controllando potenzialmente i dati sensibili archiviati al suo interno.

Il problema è stato inizialmente segnalato da ThreatVectr, rivelando che gli attaccanti hanno iniziato a colpire la falla venerdì 21 luglio 2023. Questa notizia segue il rilascio da parte di ServiceNow di patch di sicurezza il 13 luglio, pensate per affrontare la vulnerabilità. L'azienda consiglia a tutti i clienti che utilizzano istanze self-hosted di applicare immediatamente questi aggiornamenti.

L'azienda di threat intelligence Defused ha notato questi attacchi in circolazione, confermando che sono coerenti con una lacuna di sicurezza precedentemente scoperta nella piattaforma. Questa lacuna è stata inizialmente rilevata da Searchlight Cyber, che l'ha segnalata a ServiceNow il 1° aprile. La falla consente agli attaccanti di sfruttare un indirizzo web specifico, /assessment_thanks.do, che non dovrebbe accettare comandi esterni.

ServiceNow descrive l'attacco come complesso, richiedendo competenze per essere eseguito. Tuttavia, questo non ha scoraggiato gli attaccanti dal tentare e riuscire. Nonostante questa attività, l'avviso pubblico di ServiceNow attualmente afferma che non è a conoscenza di alcuno sfruttamento attivo contro le loro istanze, una dichiarazione ancora da aggiornare con i risultati più recenti.

Cosa dovrebbero fare le aziende che utilizzano ServiceNow?

Se gestisci un'istanza self-hosted di ServiceNow, applica immediatamente le patch di sicurezza rilasciate il 13 luglio. Controlla i log del tuo server per eventuali tentativi di accesso insoliti a /assessment_thanks.do, soprattutto a partire dal 21 luglio. Se rilevi accessi non autorizzati, considera la rotazione di credenziali o token API che potrebbero essere stati esposti. Per coloro che utilizzano i servizi hosted di ServiceNow, conferma con il tuo rappresentante di account che la patch è stata applicata e chiedi una conferma scritta della data di implementazione.

ServiceNow è un attore significativo nel software aziendale, con la sua piattaforma che gestisce oltre 100 miliardi di flussi di lavoro annualmente nel'85% delle aziende Fortune 500. La sicurezza dei record HR, ticket IT, dettagli di approvvigionamento e registri di assistenza clienti, tra le altre informazioni sensibili, dipende fortemente dal mantenimento dell'integrità di questi sistemi.

L'urgenza di agire non può essere sottolineata abbastanza. Le aziende devono garantire di essere protette da questa vulnerabilità per salvaguardare le loro operazioni e i loro dati.