أصدرت شركة ServiceNow تحديثات أمنية عاجلة لمعالجة أربع ثغرات في منصة ServiceNow AI، ثلاث منها مصنفة بدرجة خطورة قصوى CVSS 10.0، ما يعني أنها قابلة للاستغلال من قبل مهاجمين غير موثقين عبر الإنترنت دون أي تفاعل من المستخدم. الثغرات هي:
- CVE-2026-18885: ثغرة حقن تعليمات برمجية في واجهة GraphQL Composite Data API تسمح بتنفيذ أوامر عشوائية والوصول إلى بيانات المنصة أو تعديلها.
- CVE-2026-18886: خلل في ضوابط الوصول ضمن معالج رفع صور الإعدادات، يمكّن المهاجم من إنشاء أو تعديل بيانات المنصة، ما يؤدي إلى تصعيد الامتيازات.
- CVE-2026-74820: ثغرة حقن SQL عبر جملة ORDER BY ديناميكية، تسمح بتنفيذ استعلامات SQL عشوائية على قاعدة البيانات الأساسية.
- CVE-2026-6876: ثغرة هروب من بيئة Sandbox بدرجة خطورة 8.7، تمكّن المهاجم من تنفيذ تعليمات برمجية غير موثقة.
خطورة الهجمات وسياقها
تشترك الثغرات الثلاث المصنفة 10.0 في نفس متجه الهجوم: هجوم عبر الشبكة، منخفض التعقيد، لا يتطلب صلاحيات أو تفاعل المستخدم، مع تأثير بالغ على سرية البيانات وسلامتها وتوافرها. هذه الثغرات تأتي بعد ثغرة سابقة (CVE-2026-6875) التي أُعلن عنها في يوليو، والتي أثارت جدلًا بعد تقارير متناقضة حول استغلالها الفعلي. ورغم أن ServiceNow أكدت عدم رصد استغلال مباشر في أنظمتها المستضافة، إلا أن شركات أمنية مثل Searchlight Cyber وDefused أشارت إلى وجود إثباتات مفاهيمية للاستغلال.
الإصدارات المتأثرة
وفقًا للإشعار الأمني الصادر في 27 أغسطس 2026، تشمل الإصدارات المتأثرة:
- Xanadu: أي إصدار قبل Patch 11 Hot Fix 7a
- Yokohama: أي إصدار قبل Patch 12 Hot Fix 3b، وأي إصدار قبل Patch 13 Hot Fix 4
- Zurich: أي إصدار قبل Patch 7b Hot Fix 3، Patch 8 Hot Fix 5، Patch 9 Hot Fix 6، Patch 10 Hot Fix 2m، Patch 10 Hot Fix 3، Patch 11، أو Patch 12
- Australia: أي إصدار قبل Patch 2 Hot Fix 3، Patch 3 Hot Fix 2، Patch 3m، Patch 4، أو Patch 5
توصيات أمنية
- تطبيق التحديثات الأمنية فورًا على جميع الإصدارات المتأثرة.
- تقييد الوصول الشبكي عبر جدران الحماية وقوائم التحكم.
- مراقبة النشاط غير الطبيعي خصوصًا محاولات حقن SQL أو رفع ملفات مشبوهة.
- تعزيز سياسات الأمان عبر مراجعة صلاحيات المستخدمين وتفعيل ضوابط إضافية.
