شرکت ServiceNow از کشف پنج آسیب‌پذیری در پلتفرم هوش مصنوعی (AI Platform) خود خبر داد. دو مورد از این حفره‌های امنیتی در سطح Critical ارزیابی شده‌اند و به مهاجمان اجازه می‌دهند بدون نیاز به احراز هویت (Unauthenticated)، دستورات SQL دلخواه را اجرا کرده، داده‌های حساس نمونه‌ها (Instances) را استخراج نموده و سطح دسترسی خود را ارتقا دهند.
جزئیات آسیب‌پذیری‌های شناسایی شده
این موارد که در سپتامبر ۲۰۲۶ تحت شناسه KB3159623 منتشر شده‌اند، شامل CVEهای زیر هستند: CVE-2026-86857, CVE-2026-86858, CVE-2026-13016, CVE-2026-86859, و CVE-2026-86860.
- CVE-2026-13016: یک آسیب‌پذیری بحرانی SQL Injection است که به مهاجم اجازه می‌دهد دستورات SQL را مستقیماً روی پایگاه داده هدف اجرا کند. این نقص می‌تواند منجر به افشای رکورد‌های حساس سازمانی، از جمله تیکت‌های مدیریت خدمات IT، داده‌های دارایی‌ها (Assets)، اطلاعات منابع انسانی (HR) و داده‌های پیکربندی شود.
- CVE-2026-86860: ناشی از فقدان کنترل‌های احراز هویت (Authorization Controls) است که به مهاجم اجازه می‌دهد داده‌هایی خارج از محدوده مجاز را استخراج کرده و منجر به Privilege Escalation شود.
- CVE-2026-86858: یک نقص با شدت بالا (High) که به کاربران غیرمجاز اجازه می‌دهد داده‌های Instance را ایجاد، تغییر یا حذف کنند. این موضوع می‌تواند منجر به حملات Integrity علیه گردش کارهای تجاری (Business Workflows) شود.
توصیه‌های امنیتی و رفع مشکل
شرکت ServiceNow اعلام کرده است که تاکنون شواهدی مبنی بر سوءاستفاده فعال (Exploit in the wild) از این آسیب‌پذیری‌ها مشاهده نشده است. با این حال، به دلیل سطح دسترسی مورد نیاز (بدون نیاز به اکانت)، فوریت به‌روزرسانی بسیار بالاست.
اقدامات پیشنهادی برای تیم‌های SOC و مدیران امنیت:
- شناسایی تمامی نمونه‌های Self-hosted پلتفرم AI شرکت ServiceNow و ارتقای فوری آن‌ها به نسخه‌های اصلاح‌شده سپتامبر ۲۰۲۶.
- بررسی دقیق Logهای دسترسی به Instance و فعالیت‌های مدیریتی برای شناسایی هرگونه تغییر غیرعادی در رکوردها.
- پایش خطاهای مربوط به پایگاه داده (Database Errors) که ممکن است نشانه‌ای از تلاش برای اجرای SQL Injection باشد.
