Bulletins de Sécurité

Trois vulnérabilités critiques de score CVSS maximal (10.0) affectant la plateforme ServiceNow AI Platform (Now Platform) ont été publiées par l'éditeur le 27 août 2026.

• CVE-2026-18885 : une vulnérabilité d'injection de code dans l'API GraphQL Composite Data permet à un attaquant distant non authentifié d'exécuter du code arbitraire sur l'instance et d'accéder aux données ou de les modifier au-delà des permissions prévues.

• CVE-2026-18886 : une vulnérabilité de contrôle d'accès incorrect permet à un attaquant distant non authentifié de créer ou de modifier des données de l'instance, pouvant conduire à une élévation de privilèges.

• CVE-2026-74820 : une vulnérabilité d'injection SQL permet à un attaquant distant non authentifié d'exécuter des instructions SQL arbitraires au sein de la base de données sous-jacente.

Les trois vulnérabilités sont exploitables sans authentification, sans interaction utilisateur, et via une complexité d'attaque faible.

ServiceNow indique avoir déjà déployé la mise à jour de sécurité sur l'ensemble des instances hébergées (cloud) de manière automatique. Les partenaires et clients en environnement self-hosted doivent appliquer la mise à jour eux-mêmes.

L’éditeur indique n'avoir connaissance d'aucune exploitation active de ces vulnérabilités à ce jour. Étant donné que la plateforme ServiceNow est utilisée par la grande majorité des grandes entreprises pour des processus métier critiques (ITSM, RH, sécurité), et le profil de ces failles (non authentifié, impact maximal), une exploitation à court terme reste plausible.

Étant donné le risque associé, nous préconisons de corriger ces vulnérabilités sans plus attendre pour toute instance ServiceNow self-hosted ou gérée par un partenaire.