Lo m\u00e1s importante en resumen<\/p>\n
- \n
- Pre-autenticaci\u00f3n, escape de sandbox.<\/strong> CVE-2026-6875 permite la ejecuci\u00f3n de c\u00f3digo sin autenticaci\u00f3n en el contexto de la plataforma.<\/li>\n
- Prioridad para autoalojados.<\/strong> La KB3137947 (implementaci\u00f3n el 13.07.2026) es el punto de control cr\u00edtico para el parche. Los parches para versiones alojadas comenzaron en abril.<\/li>\n
- Detectado en la naturaleza.<\/strong> Defused observ\u00f3 cargas \u00fatiles en assessment_thanks.do durante el fin de semana del 18 al 20.07.2026.<\/li>\n
- Posici\u00f3n del proveedor en alojados.<\/strong> ServiceNow no ha encontrado evidencias de actividad en instancias alojadas, pero recomienda aplicar el parche.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/strong> Modelos de OpenAI y pipeline de Hugging Face: qu\u00e9 verificar<\/a> · \u00bfQu\u00e9 es SOAR? Definici\u00f3n y delimitaci\u00f3n<\/a><\/p>\n
ServiceNow est\u00e1 profundamente integrado en los flujos de trabajo de incidentes, cambios y RRHH de numerosas empresas. Una vulnerabilidad RCE pre-autenticaci\u00f3n en su plataforma no es solo otro agujero en una aplicaci\u00f3n web: afecta a datos de procesos y sistemas conectados, desde Active Directory hasta APIs en la nube. Esta lista distingue las acciones inmediatas para versiones autoalojadas de las verificaciones necesarias para clientes en la nube.<\/p>\n
\u00bfQu\u00e9 es CVE-2026-6875?<\/strong> Un escape de sandbox pre-autenticaci\u00f3n en la plataforma de IA de ServiceNow. Searchlight Cyber identific\u00f3 el fallo en el endpoint assessment_thanks.do. M\u00e1s tarde, Defused report\u00f3 cargas \u00fatiles activas en entornos reales. ServiceNow proporciona parches y minimiza el riesgo en instancias alojadas.<\/p>\n
1. Mantener el parche y la versi\u00f3n de lanzamiento frente a KB3137947<\/h2>\n
ServiceNow cerr\u00f3 la vulnerabilidad para las instancias alojadas en abril. Para las instancias autoalojadas, la actualizaci\u00f3n de seguridad bajo la KB3137947 se public\u00f3 en julio, con informes sobre su despliegue el 13.07.2026. El primer punto cr\u00edtico es la verificaci\u00f3n de la versi\u00f3n de la instancia y el estado de la KB.<\/p>\n
\u00abEstamos en la nube\u00bb ya no es una respuesta suficiente. Los clientes con instancias alojadas exigen una prueba de salud del proveedor o de la instancia. Los clientes con instancias autoalojadas deben documentar la compilaci\u00f3n tras aplicar la KB.<\/p>\n
\nDefinici\u00f3n · CVE-2026-6875<\/p>\n
Escape de sandbox pre-autenticaci\u00f3n en la plataforma de IA de ServiceNow. Para las instancias autoalojadas, se prioriza el estado de la KB. Para las alojadas, se verifica el estado del parche del proveedor y la telemetr\u00eda.<\/p>\n<\/div>\n
2. Verificar el destino Pre-Auth y la exposici\u00f3n a Internet<\/h2>\n
Investigaciones y fuentes de inteligencia sobre amenazas se\u00f1alan la ruta Pre-Auth a trav\u00e9s del endpoint assessment_thanks.do. Si la URL es accesible desde redes no confiables, se priorizan reglas WAF, registros (logging) y, en su caso, una restricci\u00f3n temporal hasta aplicar el parche correspondiente.<\/p>\n
Un enfoque basado \u00fanicamente en firmas no es suficiente. Defused ha observado un gadget de escape de sandbox distinto al PoC p\u00fablico. La telemetr\u00eda del endpoint y la detecci\u00f3n de anomal\u00edas en el destino (Sink) son m\u00e1s relevantes que un filtro est\u00e1tico.<\/p>\n
3. Leer el radio de explosi\u00f3n de cuentas de acceso e integraci\u00f3n<\/h2>\n
El c\u00f3digo en el contexto de la plataforma suele heredar los permisos de usuarios de integraci\u00f3n, cuentas cercanas a MID y aplicaciones OAuth. El inventario de todas las integraciones con privilegios elevados determina qu\u00e9 sistemas ser\u00edan accesibles tras un RCE exitoso: AD, controladores de cloud, sistemas de RRHH, tuber\u00edas de CI\/CD.<\/p>\n
El inventario no evita el exploit. Sin embargo, s\u00ed define qu\u00e9 secretos y relaciones de confianza se consideran comprometidos durante el incidente.<\/p>\n
4. Registros: accesos pre-autenticaci\u00f3n y actividad inusual de scripts<\/h2>\n
La b\u00fasqueda comienza con accesos inusuales en puntos de evaluaci\u00f3n y endpoints de pre-autenticaci\u00f3n. Tambi\u00e9n se incluyen rutas de scripts fallidas y exitosas. Las acciones de administrador fuera de las ventanas de cambio conocidas deben incluirse en el filtro.<\/p>\n
El per\u00edodo analizado debe cubrir al menos la primera ventana p\u00fablica de investigaci\u00f3n y parches. La ausencia de registros de aplicaci\u00f3n es un hallazgo en s\u00ed mismo. En ese caso, quedan los registros de WAF, proxy inverso e identidad, incompletos pero mejor que nada.<\/p>\n
5. Ventana de cambios y congelaci\u00f3n de tickets en instancias autoalojadas sin parchear<\/h2>\n
Las instancias autoalojadas sin parchear que est\u00e1n expuestas a internet deben pasar al modo de emergencia. La aplicaci\u00f3n de parches tiene prioridad sobre los despliegues de funciones. Las actualizaciones de plugins de riesgo no se ejecutan en paralelo. Una comunicaci\u00f3n clara al responsable del servicio garantiza el proceso.<\/p>\n
Una congelaci\u00f3n sin un plan de parcheo no tiene efecto. El cambio requiere un procedimiento de reversi\u00f3n, una indicaci\u00f3n en la instancia de prueba y la evidencia de la aplicaci\u00f3n del bolet\u00edn de seguridad (KB).<\/p>\n
6. Actores externos: servidores MID, aplicaciones personalizadas y exportaciones de datos<\/h2>\n
La plataforma rara vez opera en solitario. Los servidores MID, los spokes del Integration Hub y las aplicaciones personalizadas con \u00e1mbito espec\u00edfico ampl\u00edan las rutas de ejecuci\u00f3n y de datos. Tras una explotaci\u00f3n confirmada o sospechada, estos nodos deben incluirse en el mismo \u00e1mbito del incidente que la instancia principal.<\/p>\n
No todo script personalizado representa una ruta de ejecuci\u00f3n de c\u00f3digo remoto (RCE) para la CVE-2026-6875. Este punto aborda la posible compromiso subsiguiente y la filtraci\u00f3n de datos, no la causa ra\u00edz de la vulnerabilidad en el entorno aislado.<\/p>\n
\nLista de verificaci\u00f3n inmediata<\/p>\n
- \n
- ✓<\/span>Autoalojado: verificar el estado de la versi\u00f3n KB3137947<\/li>\n
- ✓<\/span>En la nube: comprobar el estado de los parches de la instancia con el proveedor<\/li>\n
- ✓<\/span>Registrar el punto de entrada sin autenticaci\u00f3n y la exposici\u00f3n a internet<\/li>\n
- ✓<\/span>Inventariar las integraciones con privilegios elevados<\/li>\n<\/ul>\n<\/div>\n
Qu\u00e9 hacer primero y qu\u00e9 despu\u00e9s<\/h2>\n
Inmediatamente:<\/strong> Poner al d\u00eda el entorno autoalojado hasta el nivel KB3137947, aclarar la exposici\u00f3n de los *pre-auth sinks*, y listar las integraciones de alto privilegio. En paralelo (entornos alojados):<\/strong> Verificar el estado de los parches del proveedor y la telemetr\u00eda de las instancias. El fabricante no ha encontrado pruebas de la actividad observada en instancias alojadas, pero recomienda a todos los clientes mantener el nivel de parches actualizado. A continuaci\u00f3n:<\/strong> Revisar los registros, rotar los secretos en las cuentas de integraci\u00f3n si hay sospecha, y generar la documentaci\u00f3n justificativa para el CISO y, si es necesario, cumplir con la obligaci\u00f3n de notificaci\u00f3n seg\u00fan la Directiva NIS2.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n
\n\u00bfEl CVE-2026-6875 solo es relevante para instalaciones locales (self-hosted)?<\/strong><\/summary>\n
Las soluciones alojadas en la nube conllevan un riesgo operativo m\u00e1s bajo, ya que el proveedor gestiona los plazos de parcheado. Las soluciones alojadas recibieron los parches a partir de abril. Sin embargo, el fabricante recomienda a todos los clientes mantenerse al d\u00eda con las actualizaciones. Los clientes con soluciones alojadas deben verificar el estado, mientras que los usuarios de soluciones autoalojadas deben aplicar los parches y medir su exposici\u00f3n.<\/p>\n<\/details>\n
\n\u00bfQu\u00e9 significa exactamente \u00abpreautorizaci\u00f3n\u00bb en este contexto?<\/strong><\/summary>\n
Los atacantes no necesitan una sesi\u00f3n v\u00e1lida de ServiceNow en el sink afectado. La complejidad del *escape gadget* puede ser elevada. La barrera de entrada \u00absin inicio de sesi\u00f3n\u00bb sigue siendo la diferencia decisiva frente a fallos de administraci\u00f3n posteriores a la autenticaci\u00f3n.<\/p>\n<\/details>\n
\n\u00bfBastan las reglas de WAF en lugar de parches?<\/strong><\/summary>\n
Los WAF y las restricciones en los endpoints son medidas inmediatas sensatas. La soluci\u00f3n del proveedor sigue siendo la soluci\u00f3n definitiva. Defused describe un gadget distinto al PoC p\u00fablico; una firma basada \u00fanicamente en el PoC se queda corta.<\/p>\n<\/details>\n
\n\u00bfServiceNow ha confirmado una explotaci\u00f3n activa?<\/strong><\/summary>\n
Defused detecta actividad en entornos reales. ServiceNow declar\u00f3 ante BleepingComputer que, hasta el momento, no ha encontrado pruebas de esta actividad en instancias alojadas en ServiceNow. El fabricante, a su vez, hace referencia a las actualizaciones disponibles. Ambas afirmaciones deben documentarse de forma paralela.<\/p>\n<\/details>\n
\n\u00bfQu\u00e9 papel desempe\u00f1an las integraciones tras un RCE?<\/strong><\/summary>\n
Usted define el alcance del impacto: aprovisionamiento de AD, APIs de cloud, datos de RRHH y CMDB. Tras una explotaci\u00f3n confirmada o altamente probable, las cuentas de servicio y las aplicaciones OAuth deben incluirse en el mismo incidente que la plataforma en s\u00ed.<\/p>\n<\/details>\n
<\/p>\n
Selecci\u00f3n de la redacci\u00f3n<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-19-250x143.jpg\")
<\/span>Recomendado<\/span>Modelos de OpenAI hackean Hugging Face: qu\u00e9 revisar ahora<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-17-250x143.jpg\")
<\/span>Recomendado<\/span>\u00bfQu\u00e9 es SOAR? Definici\u00f3n, guiones y diferenciaci\u00f3n<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-18-250x143.jpg\")
<\/span>Recomendado<\/span>Plugins de CoreDNS: DNS en cl\u00faster sin protecci\u00f3n de<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-warum-die-cloud-rechnung-nie-kleiner-wir-41446305-250x143.jpg\")
<\/span>Digital Chiefs<\/span>Por qu\u00e9 la factura de la nube nunca disminuye<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-google-dma-890-mio-euro-60-tage-frist-25438961.jpg\")
<\/span>cloudmagazin<\/span>Sanci\u00f3n DMA contra Google: 890 millones de euros<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"CVE-2026-6875: escape de sandbox preautenticaci\u00f3n. Seis comprobaciones operativas para entornos autogestionados y alojados.","protected":false},"author":50,"featured_media":22663,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"vulnerabilidad ServiceNow CVE-2026-6875","_yoast_wpseo_title":"ServiceNow RCE: seis comprobaciones antes del ticket","_yoast_wpseo_metadesc":"CVE-2026-6875: RCE preautenticaci\u00f3n en ServiceNow. Estado de parches, sumideros, integraciones y diferencias entre alojado y autogestionado en seis comprobaciones.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"es","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-22680","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":8,"wpml_language":"es","wpml_translation_of":22659,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22680","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=22680"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22680\/revisions"}],"predecessor-version":[{"id":22682,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/22680\/revisions\/22682"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/22663"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=22680"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=22680"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=22680"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - ✓<\/span>En la nube: comprobar el estado de los parches de la instancia con el proveedor<\/li>\n
- Prioridad para autoalojados.<\/strong> La KB3137947 (implementaci\u00f3n el 13.07.2026) es el punto de control cr\u00edtico para el parche. Los parches para versiones alojadas comenzaron en abril.<\/li>\n