ServiceNow hat am 27. August 2026 vier kritische Sicherheitslücken in seiner KI-Plattform geschlossen. Drei davon erreichen mit einem CVSS-Wert von 10,0 die höchste Gefahrenstufe. Unangemeldete Angreifer konnten dadurch ohne jede Interaktion beliebigen Code ausführen und sich Zugriff auf Unternehmensdaten verschaffen.
Vier Lücken reichen bis zum CVSS-Höchstwert
Die Sicherheitsmitteilung des Unternehmens listet vier CVE-Einträge auf. Betroffen ist die AI Platform, der KI-Unterbau, über den ServiceNow IT-, Personal- und Kundenservice-Workflows automatisiert. Alle vier Fehler lassen sich über das Netzwerk ausnutzen, ohne hohen technischen Aufwand. Die vier Lücken im Überblick:
- CVE-2026-18885 (CVSS 10,0): Eine Schwachstelle in der GraphQL-Schnittstelle erlaubt unangemeldeten Angreifern, beliebigen Code auszuführen und Instanzdaten zu verändern.
- CVE-2026-18886 (CVSS 10,0): Der Bild-Upload für Systemkonfigurationen lässt sich missbrauchen, um Instanzdaten zu manipulieren und Rechte auszuweiten.
- CVE-2026-74820 (CVSS 10,0): Eine SQL-Injection in einer dynamischen Sortierfunktion öffnet Zugriff auf die zugrunde liegende Datenbank.
- CVE-2026-6876 (CVSS 8,7): Eine Sandbox-Escape-Lücke in der Now-Platform-Sandbox ermöglicht Codeausführung, setzt aber niedrige Rechte voraus.
Für die drei schwersten Fehler braucht es weder Zugangsdaten noch eine Interaktion der Nutzer. Gehostete Cloud-Instanzen erhielten die Korrekturen automatisch, Betreiber selbst gehosteter Installationen müssen die Hotfixes für die Versionen Xanadu, Yokohama, Zurich und Australia manuell einspielen. Einen öffentlich zugänglichen Exploit-Code gab es zum Zeitpunkt der Berichterstattung nach Recherchen mehrerer Sicherheitsmedien noch nicht.
ServiceNows KI-Plattform steuert zentrale Firmenprozesse
Die AI Platform bündelt IT-Support, Personalprozesse und Kundenkontakte in einer einzigen KI-gestützten Oberfläche – der deutsche Industriekonzern Siemens etwa nutzt die zugrunde liegende Now Platform für seinen internen IT-Support. Genau diese Vernetzung macht die vier Lücken riskant: Wer die Plattform kapert, kommt nach Einschätzung von CSO Online potenziell auch an verbundene Zugangsdaten, Tokens und Partnersysteme heran, da ServiceNow häufig als zentrale Schaltstelle zwischen Abteilungen und externen Dienstleistern fungiert.
Ein Präzedenzfall zeigt, dass solche Lücken real ausgenutzt werden: Eine andere kritische ServiceNow-Schwachstelle, CVE-2026-6875, wurde bereits im Juli 2026 aktiv angegriffen. Auch bei anderen Business-Plattformen tauchten zuletzt ähnliche Muster auf – erst im August fanden Sicherheitsforscher bei Microsoft SharePoint eine Kette aus zwei Lücken mit vollem Serverzugriff. Der britische Gesundheitsdienst NHS England reagierte auf die neuen ServiceNow-Lücken mit einer eigenen Warnmeldung an angeschlossene Einrichtungen. ServiceNow selbst erklärt, es sei sich bislang keiner Ausnutzung der neuen Lücken bewusst. Ein öffentlicher Exploit-Code liege zum Stand der Berichterstattung nicht vor.
Entscheidend wird, ob Sicherheitsforscher innerhalb der kommenden Tage Exploit-Code veröffentlichen. Bislang bewegt sich das Risiko im Bereich des Theoretischen, sobald jedoch ein funktionierender Angriffscode kursiert, dürften ungepatchte, selbst gehostete Instanzen schnell zum Ziel werden. Offen bleibt zudem, wie viele Unternehmen ihre On-Premise-Installationen zeitnah aktualisieren, denn frühere ServiceNow-Lücken blieben in der Praxis oft monatelang offen.
