ServiceNow-RCE-Schwachstelle wird nun bei Angriffen ausgenutzt

Eine kritische ServiceNow-RCE-Schwachstelle wird Berichten zufolge bei Angriffen ausgenutzt, nur wenige Tage nachdem Sicherheitsupdates für selbst gehostete Instanzen verfügbar wurden.

Die als CVE-2026-6875 geführte Schwachstelle betrifft die ServiceNow AI Platform. Sicherheitsforscher warnen, dass ein nicht authentifizierter Angreifer die Sandbox der Plattform verlassen und in komplexen Angriffsszenarien Code aus der Ferne ausführen könnte.

ServiceNow hat das Problem in seinen gehosteten Instanzen bereits behoben. Organisationen mit selbst gehosteten Bereitstellungen sollten die verfügbaren Sicherheitsupdates jedoch so schnell wie möglich installieren.

Forscher berichten von aktiver Ausnutzung

Das Threat-Intelligence-Unternehmen Defused erklärte, es habe am 17. Juli Versuche beobachtet, CVE-2026-6875 auszunutzen.

Die Berichte erschienen kurz nachdem ServiceNow am 13. Juli Patches für selbst gehostete Kunden veröffentlicht hatte. Laut Defused nutzen Angreifer einen anderen Weg, um dasselbe Ergebnis der Remote-Code-Ausführung zu erreichen, das die ursprüngliche Forschung beschrieben hatte.

Zum Zeitpunkt der Berichterstattung hatte ServiceNow die aktive Ausnutzung in seinem offiziellen Sicherheitshinweis nicht bestätigt. Das Unternehmen erklärte weiterhin, dass ihm keine Angriffe auf Kundeninstanzen bekannt seien.

Berichte unabhängiger Forscher zeigen dennoch, dass Organisationen die ServiceNow-RCE-Schwachstelle als dringende Patch-Priorität behandeln sollten.

Was ist CVE-2026-6875?

CVE-2026-6875 ist eine Sandbox-Escape-Schwachstelle vor der Authentifizierung. Das bedeutet, dass ein Angreifer möglicherweise keine gültigen Zugangsdaten benötigt, um zu versuchen, das Problem auszunutzen.

Searchlight Cyber entdeckte die Schwachstelle und meldete sie am 1. April vertraulich an ServiceNow.

Die Forscher erklärten, dass ein erfolgreicher Angriff einem Bedrohungsakteur ermöglichen könnte, Beschränkungen zu umgehen, die Code innerhalb der ServiceNow-Umgebung isolieren. Von dort aus könnte der Angreifer möglicherweise Code aus der Ferne auf der betroffenen Plattform ausführen.

Schwachstellen, die eine Remote-Code-Ausführung ermöglichen, sind besonders schwerwiegend. Sie können Angreifern einen Weg eröffnen, Daten zu stehlen, Schadsoftware einzusetzen, dauerhaften Zugriff zu schaffen oder sich in verbundenen Unternehmenssystemen weiterzubewegen.

Gehostete Kunden haben bereits einen Fix

ServiceNow hat die RCE-Schwachstelle in seinen gehosteten Umgebungen behoben. Kunden, die die vom Unternehmen verwaltete Plattform nutzen, sollten daher bereits durch die Maßnahmen des Anbieters geschützt sein.

Kunden mit selbst gehosteten Installationen bleiben jedoch selbst dafür verantwortlich, die relevanten Updates zu installieren.

Organisationen sollten zunächst alle ServiceNow-Instanzen in ihrer Umgebung identifizieren. Anschließend sollten sie die aktuell verwendete Version prüfen und jede betroffene selbst gehostete Bereitstellung auf eine gepatchte Version aktualisieren.

Sicherheitsteams sollten außerdem kontrollieren, ob die Aktualisierung in Entwicklungs-, Test-, Disaster-Recovery- und Produktionsumgebungen erfolgreich abgeschlossen wurde.

Warum das Risiko für Unternehmen wichtig ist

Die ServiceNow AI Platform unterstützt wichtige Unternehmensprozesse, darunter IT-Service-Management, Sicherheitsoperationen, Kundensupport und automatisierte Geschäftsabläufe.

ServiceNow gibt an, dass seine Plattform jedes Jahr mehr als 100 Milliarden Workflows ausführt und über 100.000 KI-Anwendungen für Unternehmen unterstützt. Auch ein großer Anteil der Fortune-500-Unternehmen nutzt die Plattform.

Ein erfolgreicher Einbruch könnte daher Systeme betreffen, die sensible Unternehmensdaten und zentrale Betriebsdienste verwalten.

Das Unternehmen meldete im vergangenen Monat außerdem einen separaten Sicherheitsvorfall. Dieser betraf nicht authentifizierten Zugriff auf Daten in Kundeninstanzen über einen anfälligen API-Endpunkt. ServiceNow führte die Aktivität später auf Sicherheitsforschung und Tests im Zusammenhang mit Bug-Bounty-Programmen zurück, nicht auf böswillige Angreifer.

Was Organisationen jetzt tun sollten

Organisationen, die selbst gehostetes ServiceNow nutzen, sollten die Korrekturen für CVE-2026-6875 sofort installieren.

Darüber hinaus sollten Sicherheitsteams Protokolle auf ungewöhnliche Aktivitäten, unerwartete Anfragen, unbekannte Administratoraktionen und verdächtige ausgehende Netzwerkverbindungen prüfen. Sie sollten außerdem sicherstellen, dass Zugriffskontrollen und Überwachungssysteme wie vorgesehen funktionieren.

Abschließend sollten Unternehmen dafür sorgen, dass ihre Incident-Response-Pläne wichtige Drittanbieterplattformen abdecken. Die gemeldete Ausnutzung dieser ServiceNow-RCE-Schwachstelle zeigt, wie schnell Angreifer beginnen können, kritische Schwachstellen ins Visier zu nehmen, nachdem Sicherheitsupdates öffentlich verfügbar sind.