ServiceNow corrige falhas com pontuação máxima no CVSS em plataforma de IA usada por empresas do G7
A ServiceNow publicou patches para quatro vulnerabilidades críticas no Now Platform e na AI Platform, duas delas com pontuação CVSS 10,0. As falhas permitem execução de código e injeção de SQL por atacantes sem autenticação e sem interação do usuário.
Falhas máximas em plataforma de missão crítica
A ServiceNow divulgou em 27 de agosto de 2026 quatro vulnerabilidades críticas no Now Platform e na AI Platform, incluindo duas com pontuação CVSS 10,0, a classificação máxima na escala padrão de severidade. As falhas permitem que atacantes não autenticados executem código arbitrário e realizem injeção de SQL em instâncias da plataforma, sem necessidade de credenciais ou interação do usuário. ServiceNow afirmou não ter identificado exploração ativa até a publicação dos patches.
A plataforma está entre as mais adotadas no mercado enterprise global para gestão de serviços de TI (ITSM), gestão de operações de TI (ITOM) e automação de fluxos de trabalho. Seu alcance vai de grandes bancos e seguradoras a governos nacionais e indústrias reguladas, tornando as falhas relevantes para milhares de organizações em múltiplos setores.
Tipo de falha e superfície de ataque
As duas vulnerabilidades de maior gravidade foram identificadas na AI Platform, o conjunto de ferramentas de inteligência artificial integrado ao Now Platform ao longo de 2025 e 2026. Uma delas reside na camada de API GraphQL da plataforma e permite injeção de código com resultado de execução remota e acesso ou modificação de dados da instância. A segunda falha, também de gravidade máxima, envolve injeção de código em outro componente da AI Platform.
APIs GraphQL expostas em plataformas SaaS enterprise representam superfície de ataque elevada: frequentemente acessíveis via internet, conectam múltiplos sistemas internos e carregam dados de múltiplos tenants. Um ataque sem autenticação bem-sucedido sobre essa camada pode expor configurações de automação, dados de clientes e credenciais de integração de sistemas terceiros conectados à instância.
Duas vulnerabilidades adicionais de menor severidade foram corrigidas no mesmo ciclo. Nenhuma prova de conceito pública havia sido divulgada até o fechamento desta matéria.
Patches disponíveis e gestão de versões
A ServiceNow distribui correções automaticamente para clientes participantes do Patching Program. As versões afetadas cobrem múltiplas linhas de release, incluindo Xanadu, Yokohama, Zurich e Australia. Organizações que mantêm instâncias em versões não gerenciadas ou com ciclos de atualização postergados precisam aplicar os patches manualmente e com prioridade máxima.
A postergação de atualizações é uma fricção conhecida em ambientes ServiceNow de alta customização. Empresas que congelam versões para estabilizar configurações ficam expostas nos momentos em que a velocidade de resposta é mais crítica. O ciclo de divulgação desta semana colocou pressão direta sobre equipes de TI que precisam justificar backlogs de atualização diante de conselhos e comitês de risco cada vez mais atentos a incidentes em software amplamente adotado.
Leitura global: EUA, Europa e obrigações de consultoria
Nos Estados Unidos, onde a ServiceNow tem sede e onde está concentrado o maior volume de implantações enterprise, organizações federais sujeitas ao FISMA precisam documentar avaliação de risco e ação corretiva mesmo na ausência de exploração confirmada. A CISA (Cybersecurity and Infrastructure Security Agency) pode adicionar a vulnerabilidade ao seu catálogo de Known Exploited Vulnerabilities (KEV) caso exploração ativa seja detectada, obrigando agências federais americanas a corrigir dentro de prazos curtos, geralmente 15 dias.
Na Europa, o NIS2 impõe a entidades essenciais e importantes a obrigação de implementar medidas de gestão de risco de cibersegurança, o que inclui a aplicação de patches críticos dentro de prazos compatíveis com o nível de risco. Com CVSS 10,0, as falhas do ServiceNow se enquadram na categoria que exige resposta imediata. Grandes bancos na Alemanha (Deutsche Bank, Commerzbank), seguradoras na França (AXA, Allianz) e operadoras de telecomunicações no Reino Unido que rodam o ServiceNow como plataforma central de ITSM precisam demonstrar conformidade com as obrigações de gestão de vulnerabilidades do NIS2 ou do UK Cyber Resilience Act em discussão.
Para as consultorias de TI e system integrators que constroem e mantêm instâncias ServiceNow (Accenture, Deloitte, KPMG e IBM Consulting figuram entre os principais parceiros globais da plataforma), o alerta implica ativação imediata de protocolos de verificação de versão em toda a base de clientes gerenciados. Contratos de managed services sobre o ServiceNow normalmente incluem cláusulas de SLA para patches críticos, e uma exploração bem-sucedida em ambiente gerenciado expõe o integrador a responsabilidade contratual direta.