ServiceNow ha lanzado actualizaciones de seguridad para corregir cinco fallos en su plataforma de IA. Entre ellos, destacan dos vulnerabilidades críticas que podrían permitir que atacantes no autenticados accedan, modifiquen o extraigan datos sensibles de las instancias. La empresa insta a los usuarios que utilizan alojamiento propio a verificar sus versiones y aplicar los parches correspondientes para mitigar los riesgos asociados a los CVE-2026-86857, CVE-2026-86858, CVE-2026-13016, CVE-2026-86859 y CVE-2026-86860.

ServiceNow ha lanzado actualizaciones de seguridad para cinco fallos de su Plataforma de IA, incluyendo dos vulnerabilidades críticas que podrían permitir que atacantes no autenticados accedan, modifiquen o extraigan datos sensibles de la instancia, instando a los usuarios que utilizan alojamiento propio a verificar sus versiones y aplicar los parches rápidamente.

El aviso de ServiceNow cubre los CVE-2026-86857, CVE-2026-86858, CVE-2026-13016, CVE-2026-86859 y CVE-2026-86860, identificados mediante pruebas internas, evaluaciones de clientes, divulgaciones responsables y su programa de recompensas por errores.

La empresa ha afirmado que no ha identificado pruebas de que los atacantes hayan explotado los fallos en entornos reales. Sin embargo, el impacto técnico de estos problemas hace que la aplicación rápida de parches sea importante, especialmente para las instancias expuestas a internet o conectadas a flujos de trabajo y datos empresariales sensibles.

El fallo más grave, CVE-2026-13016, está calificado como crítico y afecta a la Plataforma de IA de ServiceNow. La vulnerabilidad es un problema de inyección SQL que podría permitir a un atacante no autenticado, en ciertas circunstancias, ejecutar comandos SQL arbitrarios contra la base de datos subyacente de una instancia afectada.

Una explotación exitosa podría permitir a un atacante leer, modificar o potencialmente manipular los datos almacenados en la instancia de ServiceNow. Esto podría crear riesgos importantes para las organizaciones que utilizan ServiceNow para gestionar operaciones de servicios de TI, incidentes de seguridad, solicitudes de empleados, registros de activos, información de clientes y procesos comerciales internos.

El CVE-2026-86860 también está calificado como crítico. Se trata de una vulnerabilidad por falta de autorización que podría permitir a un atacante no autenticado extraer datos de la instancia más allá de los controles de acceso previstos.

Vulnerabilidades de ServiceNow

ServiceNow advirtió que la explotación podría conducir a una escalada de privilegios, permitiendo que los atacantes obtengan niveles de acceso o permisos de datos que no deberían tener.

El aviso de septiembre de 2026 KB3159623 detalla tres vulnerabilidades adicionales de severidad alta relacionadas con debilidades en la autorización y el control de acceso.

El CVE-2026-86857 es un fallo de omisión de autorización que podría permitir a un usuario autenticado acceder a datos de la Plataforma de IA de ServiceNow que no tiene derecho a ver. Esto podría resultar en un acceso no intencionado adicional dentro de un entorno afectado.

El CVE-2026-86858 es un problema de control de acceso inadecuado. Bajo ciertas condiciones, un atacante no autenticado podría crear, modificar o eliminar datos de la instancia fuera de los permisos previstos. Tal actividad podría interrumpir los flujos de trabajo, alterar registros o afectar la integridad de los datos operativos y de seguridad.

El CVE-2026-86859 es otra vulnerabilidad de omisión de autorización. A diferencia del CVE-2026-86857, este fallo podría permitir a un atacante no autenticado acceder a datos dentro de la Plataforma de IA de ServiceNow que deberían estar restringidos.

ServiceNow indicó que los clientes inscritos en su Programa de Parches de agosto ya recibieron las correcciones pertinentes. Los clientes con alojamiento propio deben actualizar o aplicar las actualizaciones inmediatamente. Las versiones parcheadas incluyen Yokohama Patch 13 Hot Fix 5a, Zurich Patch 10 Hot Fix 4a W32 y Australia Patch 2 Hot Fix 4b W32.

Otras versiones remediadas incluyen Zurich Patch 10 Hot Fix 3b, Zurich Patch 11 Hot Fix 3, Australia Patch 4 Hot Fix 3 y Australia Patch 5.

Tú y tu organización deberíais confirmar la versión desplegada, revisar el acceso administrativo y monitorizar si hay consultas de base de datos inusuales, cambios de datos inesperados o intentos de acceso no autorizados después de aplicar los parches.

Fuentes:
https://cybersecuritynews.com/critical-servicenow-vulnerabilities/