ServiceNow-RCE: sechs Checks vor dem Ticket

Eine Ticket-Plattform, die Incident-, Change- und HR-Prozesse steuert, ist eine hochwertige Angriffsfläche. CVE-2026-6875 ist ein Pre-Auth-Sandbox-Escape in der ServiceNow AI Platform. Self-Hosted hat einen klaren Patch-Auftrag, Hosted eine Verifikationsaufgabe.

Verwandt: OpenAI-Modelle und Hugging-Face-Pipeline: was zu prüfen ist · Was ist SOAR? Definition und Abgrenzung

ServiceNow steckt tief in Incident-, Change- und HR-Workflows vieler Unternehmen. Eine Pre-Auth-RCE dort ist mehr als ein weiteres Web-App-Loch: Sie berührt Prozessdaten und angebundene Systeme bis in AD und Cloud-APIs hinein. Diese Liste trennt, was Self-Hosted sofort tun muss, von dem, was Hosted-Kunden verifizieren.

Was ist CVE-2026-6875? Ein Pre-Auth-Sandbox-Escape in der ServiceNow AI Platform. Searchlight Cyber beschrieb den Sink um den Endpoint assessment_thanks.do. Defused meldete später aktive Payloads in the wild. ServiceNow liefert Fixes und relativiert die Ausnutzung auf gehosteten Instanzen.

1. Patch- und Release-Stand gegen KB3137947 halten

ServiceNow schloss die Lücke für gehostete Instanzen ab April. Für Self-Hosted folgte im Juli das Security-Update unter KB3137947, mit Berichten zum Rollout am 13.07.2026. Der erste harte Gate ist der Abgleich von Instance-Version und KB-Stand.

„Wir sind in der Cloud“ reicht als Antwort nicht aus. Hosted-Kunden fordern den Vendor- oder Instance-Health-Nachweis. Self-Hosted dokumentieren den Build nach dem KB.

2. Pre-Auth-Sink und Internet-Exposure prüfen

Research und Threat-Intel nennen den Pre-Auth-Pfad über den Endpoint assessment_thanks.do. Wer die URL aus untrusted Netzen erreicht, priorisiert WAF-Regeln, Logging und gegebenenfalls eine temporäre Einschränkung bis zum Patch-Stand.

Ein reiner Signatur-Ansatz reicht nicht. Defused beobachtet ein anderes Sandbox-Escape-Gadget als den öffentlichen PoC. Endpoint-Telemetrie und Anomalie-Detection auf dem Sink zählen mehr als ein statischer Filter.

3. Access- und Integration-Accounts als Blast-Radius lesen

Code im Platform-Kontext erbt häufig die Rechte von Integrationsnutzern, MID-nahen Konten und OAuth-Apps. Das Inventar aller High-Privilege-Integrationen bestimmt, was nach einem erfolgreichen RCE greifbar wäre: AD, Cloud-Controller, HR-Systeme, CI/CD-Pipelines.

Das Inventar verhindert den Exploit nicht. Es steuert, welche Secrets und Trust-Beziehungen im Incident als kompromittiert gelten.

4. Logs: Pre-Auth-Hits und ungewöhnliche Script-Aktivität

Die Suche beginnt bei ungewöhnlichen Treffern auf Assessment- und Pre-Auth-Endpunkten. Hinzu kommen fehlgeschlagene und erfolgreiche Script-Pfade. Admin-Aktionen außerhalb bekannter Change-Fenster gehören ebenfalls in den Filter.

Der Zeitraum sollte mindestens das erste öffentliche Research- und Patch-Fenster abdecken. Fehlende Application-Logs sind ein eigenes Finding. Dann bleiben WAF-, Reverse-Proxy- und Identity-Logs, unvollständig, aber besser als nichts.

5. Change-Fenster und Ticket-Freeze bei ungepatchtem Self-Hosted

Ungepatchte Self-Hosted-Instanzen mit Internet-Exposure gehören in den Notfallmodus. Patch-Change hat Vorrang vor Feature-Deployments. Riskante Plugin-Updates laufen nicht parallel. Klare Kommunikation an den Service-Owner sichert den Prozess.

Ein Freeze ohne Patch-Plan ist wirkungslos. Der Change braucht Rollback, Testinstanz-Hinweis und den Nachweis der KB-Anwendung.

6. Aussenseiter: MID-Server, Custom Apps und Datenexporte

Die Platform ist selten allein. MID-Server, Integration-Hub-Spokes und Custom Scoped Apps erweitern die Ausführungs- und Datenpfade. Nach bestätigter oder vermuteter Ausnutzung gehören diese Knoten in denselben Incident-Scope wie die Core-Instance.

Nicht jedes Custom Script ist ein RCE-Pfad für CVE-2026-6875. Dieser Punkt adressiert Folgekompromittierung und Datenabfluss, nicht den Root-Cause der Sandbox-Lücke.

Was zuerst, was später

Sofort: Self-Hosted auf KB3137947-Stand bringen, Exposure des Pre-Auth-Sinks klären, High-Privilege-Integrationen listen. Parallel Hosted: Vendor-Patch-Status und Instance-Telemetrie verifizieren. Der Hersteller sieht keine Belege für die beobachtete Aktivität auf gehosteten Instanzen, empfiehlt aber allen Kunden den aktuellen Patch-Level. Danach: Log-Review, Secret-Rotation an Integrationskonten bei Verdacht, dokumentierter Nachweis für CISO und bei Bedarf NIS2-Meldepflicht.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Ist CVE-2026-6875 nur für Self-Hosted relevant?

Self-Hosted trägt das höhere operative Risiko, weil Patch-Timing beim Betreiber liegt. Hosted erhielt Fixes ab April. Der Hersteller rät dennoch allen Kunden zum aktuellen Stand. Hosted-Kunden verifizieren den Status, Self-Hosted patchen und messen die Exposure.

Was bedeutet „Pre-Auth“ hier genau?

Angreifer brauchen keine gültige ServiceNow-Sitzung am betroffenen Sink. Die Komplexität des Escape-Gadgets kann hoch sein. Die Einstiegshürde „kein Login“ bleibt der entscheidende Unterschied zu post-auth Admin-Bugs.

Reichen WAF-Regeln statt Patch?

WAF und Endpoint-Restriktionen sind sinnvolle Sofortmaßnahmen. Der Vendor-Fix bleibt die harte Lösung. Defused beschreibt ein anderes Gadget als den öffentlichen PoC, reine Signatur auf den PoC greift zu kurz.

Hat ServiceNow aktive Ausnutzung bestätigt?

Defused meldet In-the-wild-Aktivität. ServiceNow erklärte gegenüber BleepingComputer, bislang keine Belege für diese Aktivität auf ServiceNow-gehosteten Instanzen gesehen zu haben. Der Hersteller verweist zugleich auf verfügbare Updates. Beide Aussagen gehören nebeneinander dokumentiert.

Welche Rolle spielen Integrationen nach einem RCE?

Sie bestimmen den Blast Radius: AD-Provisioning, Cloud-APIs, HR- und CMDB-Daten. Nach bestätigter oder hoch wahrscheinlicher Ausnutzung gehören Service-Accounts und OAuth-Apps in denselben Incident wie die Platform selbst.

Lesetipps der Redaktion

LesetippOpenAI-Modelle hackten Hugging Face: was jetzt zu prüfen istLesetippWas ist SOAR? Definition, Playbooks und AbgrenzungLesetippCoreDNS-Plugins: Cluster-DNS fällt ohne Auth-Schutz

Mehr aus dem MBF Media Netzwerk

Digital ChiefsWarum die Cloud-Rechnung nie kleiner wirdcloudmagazinDMA-Strafe gegen Google: 890 Mio. Euro

Bildquelle: KI-generiert (Juli 2026), C2PA-Zertifikat im Bild hinterlegt