ServiceNow behebt Schwachstellen mit maximaler CVSS-Punktzahl auf KI-Plattform für Unternehmen der G7
ServiceNow hat Patches für vier kritische Schwachstellen in der Now Platform und der AI Platform veröffentlicht, zwei davon mit einer CVSS-Punktzahl von 10,0. Die Schwachstellen ermöglichen die Ausführung von Code und SQL-Injection durch nicht authentifizierte Angreifer ohne Benutzerinteraktion.
Maximale Schwachstellen auf kritischer Plattform
ServiceNow hat am 27. August 2026 vier kritische Schwachstellen in der Now Platform und der AI Platform veröffentlicht, darunter zwei mit einer CVSS-Punktzahl von 10,0, der höchsten Einstufung auf der standardisierten Schweregrad-Skala. Die Schwachstellen ermöglichen es nicht authentifizierten Angreifern, beliebigen Code auszuführen und SQL-Injection in Instanzen der Plattform durchzuführen, ohne dass Anmeldedaten oder Benutzerinteraktion erforderlich sind. ServiceNow erklärte, dass bis zur Veröffentlichung der Patches keine aktive Ausnutzung festgestellt wurde.
Die Plattform gehört zu den am häufigsten eingesetzten im globalen Enterprise-Markt für IT-Service-Management (ITSM), IT-Betriebsmanagement (ITOM) und Workflow-Automatisierung. Ihr Einsatz reicht von großen Banken und Versicherungen bis hin zu nationalen Regierungen und regulierten Industrien, was die Schwachstellen für Tausende von Organisationen in verschiedenen Sektoren relevant macht.
Art der Schwachstelle und Angriffsfläche
Die beiden gravierendsten Schwachstellen wurden in der AI Platform identifiziert, dem Satz von KI-Tools, die im Verlauf von 2025 und 2026 in die Now Platform integriert wurden. Eine davon befindet sich in der GraphQL-API-Schicht der Plattform und ermöglicht die Code-Injection mit dem Ergebnis der Remote-Ausführung sowie den Zugriff auf oder die Modifikation von Instanzdaten. Die zweite Schwachstelle, ebenfalls von höchster Schwere, betrifft die Code-Injection in ein weiteres Modul der AI Platform.
Exponierte GraphQL-APIs auf Enterprise-SaaS-Plattformen stellen eine hohe Angriffsfläche dar: Sie sind häufig über das Internet zugänglich, verbinden mehrere interne Systeme und laden Daten von mehreren Mandanten. Ein erfolgreicher, nicht authentifizierter Angriff auf diese Schicht kann Automatisierungskonfigurationen, Kundendaten und Integrationsanmeldedaten von Drittanbietersystemen, die mit der Instanz verbunden sind, offenlegen.
Zwei zusätzliche Schwachstellen von geringerer Schwere wurden im selben Zyklus behoben. Bis zum Zeitpunkt der Erstellung dieses Artikels war kein öffentliches Proof of Concept veröffentlicht worden.
Verfügbare Patches und Versionsmanagement
ServiceNow verteilt Korrekturen automatisch an Kunden, die am Patching-Programm teilnehmen. Die betroffenen Versionen decken mehrere Release-Linien ab, einschließlich Xanadu, Yokohama, Zürich und Australien. Organisationen, die Instanzen in unmanaged Versionen oder mit aufgeschobenen Aktualisierungszyklen betreiben, müssen die Patches manuell und mit höchster Priorität anwenden.
Die Aufschiebung von Aktualisierungen ist eine bekannte Friktion in stark angepassten ServiceNow-Umgebungen. Unternehmen, die Versionen einfrieren, um Konfigurationen zu stabilisieren, sind in Momenten, in denen die Reaktionsgeschwindigkeit besonders kritisch ist, exponiert. Der in dieser Woche veröffentlichte Zyklus setzte die IT-Teams unter Druck, die Backlogs bei Aktualisierungen rechtfertigen müssen, angesichts von Ratschlägen und Ausschüssen, die zunehmend auf Vorfälle in weit verbreiteter Software achten.
Globale Lesart: USA, Europa und Beratungsverpflichtungen
In den Vereinigten Staaten, wo ServiceNow seinen Sitz hat und wo der größte Teil der Enterprise-Implementierungen konzentriert ist, müssen Bundesorganisationen, die dem FISMA unterliegen, die Risikobewertung und die Korrekturmaßnahmen dokumentieren, selbst wenn keine bestätigte Ausnutzung vorliegt. Die CISA (Cybersecurity and Infrastructure Security Agency) könnte die Schwachstelle in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, falls eine aktive Ausnutzung festgestellt wird, was amerikanische Bundesbehörden verpflichtet, innerhalb kurzer Fristen, in der Regel 15 Tage, zu korrigieren.
In Europa verpflichtet die NIS2-Währung essentielle und wichtige Einrichtungen zur Umsetzung von Maßnahmen zum Management von Cybersecurity-Risiken, was die Anwendung kritischer Patches innerhalb von Fristen einschließt, die mit dem Risikoniveau kompatibel sind. Mit einer CVSS von 10,0 fallen die Schwachstellen von ServiceNow in die Kategorie, die eine sofortige Reaktion erfordert. Große Banken in Deutschland (Deutsche Bank, Commerzbank), Versicherungen in Frankreich (AXA, Allianz) und Telekommunikationsanbieter im Vereinigten Königreich, die ServiceNow als zentrale ITSM-Plattform nutzen, müssen die Einhaltung der Verpflichtungen zum Management von Schwachstellen gemäß NIS2 oder dem im Gespräch befindlichen UK Cyber Resilience Act nachweisen.
Für die IT-Beratungen und Systemintegratoren, die ServiceNow-Instanzen aufbauen und warten (Accenture, Deloitte, KPMG und IBM Consulting zählen zu den wichtigsten globalen Partnern der Plattform), impliziert die Warnung die sofortige Aktivierung von Versionen-Überprüfungsprotokollen für die gesamte Basis der verwalteten Kunden. Verträge über Managed Services auf Basis von ServiceNow umfassen in der Regel Klauseln zu SLAs für kritische Patches, und eine erfolgreiche Ausnutzung in einer verwalteten Umgebung setzt den Integrator direkter vertraglicher Verantwortung aus.