Uma vulnerabilidade crítica de execução remota de código (RCE), recentemente corrigida na plataforma de IA do ServiceNow, está sendo explorada ativamente.
A falha é registrada como CVE-2026-6875 e foi descrita como um problema de escape de área restrita (sandbox) que um atacante sem autenticação pode explorar em determinadas circunstâncias para executar código arbitrário.
Quando anunciou a disponibilidade das correções em 14 de julho, a ServiceNow informou que uma atualização de segurança endereçando a vulnerabilidade havia sido implantada em instâncias hospedadas. No entanto, clientes com instâncias auto-hospedadas precisam instalar as correções por conta própria.
No mesmo dia, a empresa de cibersegurança Searchlight Cyber divulgou detalhes técnicos e mostrou como a vulnerabilidade pode ser explorada.
A empresa de inteligência de ameaças Defused relatou em 18 de julho que havia observado a exploração em ambiente real da CVE-2026-6875, aproveitando informações divulgadas pela Searchlight Cyber.
Inicialmente, a Defused afirmou que o exploit alcançava o mesmo resultado da prova de conceito (proof-of-concept) da Searchlight, mas por meio de um método ligeiramente diferente. Na segunda-feira, porém, a empresa emitiu uma correção, informando que uma análise mais detalhada mostrou que o payload capturado era, na verdade, idêntico ao da própria Searchlight Cyber.
O comunicado inicial do fornecedor afirmava não ter conhecimento de exploração ativa e, até o momento da publicação, esse aviso não foi atualizado para refletir o contrário.
"A ServiceNow está ciente da publicação recente de uma empresa de cibersegurança sobre atividades de exploração associadas a uma vulnerabilidade de segurança divulgada anteriormente, identificada como CVE-2026-6875", disse um porta-voz da ServiceNow à SecurityWeek. "Com base em nossa investigação até o momento, não observamos evidências de que essa atividade esteja relacionada a instâncias hospedadas pela ServiceNow".
"Fornecemos atualizações e patches projetados para resolver esse problema e recomendamos que nossos clientes auto-hospedados e hospedados pela ServiceNow apliquem os patches relevantes, caso ainda não o tenham feito. Além disso, continuaremos a trabalhar diretamente com os clientes que precisem de assistência na aplicação dos patches", acrescentou o porta-voz.
Não parecem haver outros relatos descrevendo a exploração da CVE-2026-6875, e há a possibilidade de que a atividade esteja sendo conduzida por membros da indústria de cibersegurança em busca de sistemas vulneráveis.
A ServiceNow informou clientes no mês passado sobre uma vulnerabilidade explorada, mas a empresa posteriormente esclareceu que a exploração havia sido atribuída a pesquisadores de segurança, e não a atacantes.
Vulnerabilidades do ServiceNow não são frequentemente exploradas por agentes de ameaça. O catálogo KEV (Catálogo de Vulnerabilidades Exploradas Conhecidas) da CISA (Agência de Cibersegurança e Infraestrutura dos Estados Unidos) inclui atualmente apenas duas falhas, ambas corrigidas em 2024.
