ServiceNow corrige 3 falhas nota 10 na plataforma de IA; servidores próprios precisam de atualização
ServiceNow corrige três falhas CVSS 10 na AI Platform; instâncias hospedadas já foram atualizadas, mas servidores próprios exigem patch.
A ServiceNow corrigiu três vulnerabilidades com nota máxima 10,0 em sua AI Platform.
As falhas podem permitir, em determinadas condições, execução de código, elevação de privilégios ou acesso e alteração de dados por injeção de SQL sem exigir autenticação prévia.
Clientes hospedados na nuvem da ServiceNow já receberam a correção pela própria empresa.
A atenção maior recai sobre organizações com instâncias próprias ou autogerenciadas, pois elas precisam aplicar a versão corrigida ou atualizar para um release protegido.
Três falhas receberam CVSS 10,0
A identificação dos problemas são: CVE-2026-18885, CVE-2026-18886 e CVE-2026-74820. Embora tenham mecanismos diferentes, todos atingiram a pontuação máxima no CVSS 4.0.
- CVE-2026-18885: falha de injeção de código com possibilidade de execução arbitrária.
- CVE-2026-18886: controle de acesso inadequado que pode levar a elevação de privilégios.
- CVE-2026-74820: injeção de SQL que pode permitir acesso ou alteração de dados da instância.
A ServiceNow também corrigiu uma quarta vulnerabilidade, CVE-2026-6876, classificada com nota 8,7 e relacionada a escape de sandbox.
Ela não faz parte do trio nota 10, mas entrou no mesmo pacote de atenção de segurança.
Instâncias hospedadas e próprias exigem ações diferentes
A diferença prática está em quem controla a atualização. Nos ambientes hospedados pela ServiceNow, a companhia informou que implantou a correção diretamente.
Já parceiros e clientes que mantêm instâncias autogerenciadas receberam os pacotes e precisam confirmar a aplicação.
Isso evita uma interpretação perigosa, pois, saber que a ServiceNow lançou um patch não significa que todo servidor próprio já esteja protegido.
A organização precisa verificar qual release está instalado e compará-lo com a lista de versões corrigidas.
Atualizações variam conforme a família do release
A correção está disponível para diferentes linhas da plataforma, incluindo Xanadu, Yokohama, Zurich e Australia.
Cada família tem seus próprios patches e hot fixes mínimos, por isso não existe um único número de versão que sirva para todos os ambientes.
O caminho seguro é seguir a matriz oficial da ServiceNow para o release usado pela empresa.
Em ambientes corporativos, isso também exige atenção a homologação, backup e dependências antes da atualização, sem transformar a necessidade de teste em motivo para adiar indefinidamente o patch.
Não há confirmação de exploração dessas três falhas
A ServiceNow afirmou que não estava ciente de exploração maliciosa contra instâncias envolvendo as vulnerabilidades recém-corrigidas.
Isso diferencia o caso de uma falha crítica já usada ativamente em ataques. A nota 10 indica severidade potencial, não prova de comprometimento.
Ainda assim, a ausência de exploração conhecida não reduz a importância da atualização, especialmente porque as três falhas podem ser exploradas sem autenticação em cenários afetados.
Para equipes de TI, a prioridade é simples: identificar se a instância é hospedada ou autogerenciada, confirmar o release em uso e validar se o patch correspondente já foi aplicado.
Depois disso, revisar logs e alertas de segurança continua sendo uma medida prudente, mas sem presumir que houve invasão.
O que você achou? Siga @bitmagazineoficial no Instagram para ver mais e deixar seu comentário clicando aqui
