Points cl\u00e9s<\/p>\n
- \n
- Pre-Auth, Sandbox-Escape.<\/strong> CVE-2026-6875 permet une ex\u00e9cution de code non authentifi\u00e9e dans le contexte de la plateforme.<\/li>\n
- Auto-h\u00e9berg\u00e9 en priorit\u00e9.<\/strong> Le correctif KB3137947 (d\u00e9ploiement le 13.07.2026) constitue la condition sine qua non. Les correctifs pour les instances h\u00e9berg\u00e9es ont \u00e9t\u00e9 d\u00e9ploy\u00e9s d\u00e8s avril.<\/li>\n
- Exploitation en conditions r\u00e9elles signal\u00e9e.<\/strong> Defused a observ\u00e9 des charges utiles actives sur assessment_thanks.do entre le 18 et le 20.07.2026.<\/li>\n
- Position du fournisseur.<\/strong> ServiceNow n\u2019a relev\u00e9 aucune preuve d\u2019exploitation sur ses instances h\u00e9berg\u00e9es, mais recommande tout de m\u00eame l\u2019application du correctif.<\/li>\n<\/ul>\n<\/div>\n
\u00c0 consulter \u00e9galement :<\/strong> Mod\u00e8les OpenAI et pipeline Hugging Face : les points \u00e0 v\u00e9rifier<\/a> · Qu\u2019est-ce que le SOAR ? D\u00e9finition et limites<\/a><\/p>\n
ServiceNow est profond\u00e9ment ancr\u00e9 dans les flux de travail d\u2019incidents, de changements et RH de nombreuses entreprises. Une faille RCE non authentifi\u00e9e repr\u00e9sente bien plus qu\u2019une simple vuln\u00e9rabilit\u00e9 applicative : elle touche des donn\u00e9es critiques et des syst\u00e8mes connect\u00e9s, y compris l\u2019Active Directory et les API cloud. Cette analyse distingue les actions urgentes pour les instances auto-h\u00e9berg\u00e9es de celles \u00e0 v\u00e9rifier pour les clients h\u00e9berg\u00e9s.<\/p>\n
Qu\u2019est-ce que CVE-2026-6875 ?<\/strong> Il s\u2019agit d\u2019une faille de type Pre-Auth Sandbox-Escape au sein de la plateforme IA de ServiceNow. Searchlight Cyber a identifi\u00e9 la faille via l\u2019endpoint assessment_thanks.do. Defused a ensuite signal\u00e9 des charges utiles actives en conditions r\u00e9elles. ServiceNow fournit des correctifs tout en minimisant l\u2019impact potentiel sur ses instances h\u00e9berg\u00e9es.<\/p>\n
1. Maintenir les correctifs et versions \u00e0 jour par rapport \u00e0 la KB3137947<\/h2>\n
ServiceNow a colmat\u00e9 la faille pour les instances h\u00e9berg\u00e9es d\u00e8s avril. Pour les versions auto-h\u00e9berg\u00e9es, le correctif de s\u00e9curit\u00e9 correspondant \u00e0 la KB3137947 a \u00e9t\u00e9 publi\u00e9 en juillet, avec des rapports indiquant son d\u00e9ploiement le 13.07.2026. Le premier contr\u00f4le strict consiste \u00e0 comparer la version de l\u2019instance avec celle de la KB.<\/p>\n
R\u00e9pondre simplement \u00ab Nous sommes dans le cloud \u00bb ne suffit pas. Les clients en h\u00e9bergement externalis\u00e9 exigent une preuve de l\u2019\u00e9tat de sant\u00e9 du fournisseur ou de l\u2019instance. Les utilisateurs en auto-h\u00e9bergement doivent documenter la build apr\u00e8s l\u2019application de la KB.<\/p>\n
\nD\u00e9finition · CVE-2026-6875<\/p>\n
\u00c9chappement de bac \u00e0 sable avant authentification (Pre-Auth-Sandbox-Escape) dans la plateforme IA de ServiceNow. Pour les versions auto-h\u00e9berg\u00e9es, la priorit\u00e9 est donn\u00e9e \u00e0 l\u2019application de la KB. Pour les instances h\u00e9berg\u00e9es, il s\u2019agit de v\u00e9rifier l\u2019\u00e9tat du correctif fourni par le fournisseur ainsi que les donn\u00e9es de t\u00e9l\u00e9m\u00e9trie.<\/p>\n<\/div>\n
2. V\u00e9rifier les vuln\u00e9rabilit\u00e9s de pr\u00e9-authentification et l’exposition Internet<\/h2>\n
Les \u00e9quipes de recherche et de veille sur les menaces identifient le chemin de pr\u00e9-authentification via l’endpoint assessment_thanks.do<\/em>. Si l’URL est accessible depuis des r\u00e9seaux non fiables, il est recommand\u00e9 de prioriser les r\u00e8gles WAF, les journaux d’audit et, le cas \u00e9ch\u00e9ant, une restriction temporaire jusqu’\u00e0 l’application du correctif.<\/p>\n
Une approche bas\u00e9e uniquement sur des signatures ne suffit pas. Defused a observ\u00e9 un autre gadget d’\u00e9vasion de sandbox que celui d\u00e9crit dans le PoC public. La t\u00e9l\u00e9m\u00e9trie des endpoints et la d\u00e9tection d’anomalies sur le point d’entr\u00e9e (sink) comptent davantage qu’un filtre statique.<\/p>\n
3. Comptes d\u2019acc\u00e8s et d\u2019int\u00e9gration comme vecteur d\u2019attaque<\/h2>\n
Le code ex\u00e9cut\u00e9 dans le contexte d\u2019une plateforme h\u00e9rite souvent des droits des utilisateurs d\u2019int\u00e9gration, des comptes proches des identit\u00e9s machines (MID) et des applications OAuth. L\u2019inventaire de toutes les int\u00e9grations \u00e0 privil\u00e8ges \u00e9lev\u00e9s d\u00e9termine ce qui serait accessible apr\u00e8s une ex\u00e9cution de code \u00e0 distance (RCE) r\u00e9ussie : annuaires Active Directory, contr\u00f4leurs cloud, syst\u00e8mes RH ou pipelines CI\/CD.<\/p>\n
Cet inventaire ne pr\u00e9vient pas l\u2019exploit. Il permet de d\u00e9terminer quelles cl\u00e9s secr\u00e8tes et relations de confiance sont consid\u00e9r\u00e9es comme compromises en cas d\u2019incident.<\/p>\n
4. Journaux : Hits pr\u00e9-authentification et activit\u00e9 script anormale<\/h2>\n
L\u2019analyse commence par les requ\u00eates inhabituelles sur les points d\u2019acc\u00e8s d\u2019\u00e9valuation et de pr\u00e9-authentification. S\u2019y ajoutent les chemins de scripts ayant abouti ou \u00e9chou\u00e9. Les actions d\u2019administration en dehors des fen\u00eatres de changement connues doivent \u00e9galement \u00eatre incluses dans le filtre.<\/p>\n
La p\u00e9riode couverte doit au minimum inclure la premi\u00e8re fen\u00eatre publique de recherche et de correctifs. L\u2019absence de journaux d\u2019application constitue en soi une d\u00e9couverte. Restent ensuite les journaux de la WAF, du reverse proxy et de l\u2019identit\u00e9, incomplets mais mieux que rien.<\/p>\n
5. Fen\u00eatre de changement et gel des tickets pour les instances auto-h\u00e9berg\u00e9es non corrig\u00e9es<\/h2>\n
Les instances auto-h\u00e9berg\u00e9es non corrig\u00e9es expos\u00e9es \u00e0 Internet doivent \u00eatre plac\u00e9es en mode urgence. Les correctifs de s\u00e9curit\u00e9 (patchs) priment sur les d\u00e9ploiements de nouvelles fonctionnalit\u00e9s. Les mises \u00e0 jour de plugins \u00e0 risque ne sont pas d\u00e9ploy\u00e9es en parall\u00e8le. Une communication claire avec le responsable du service garantit le bon d\u00e9roulement du processus.<\/p>\n
Un gel sans plan de correctif est inefficace. Le changement n\u00e9cessite un retour arri\u00e8re (rollback), une mention sur l\u2019instance de test ainsi que la preuve de l\u2019application du correctif (KB).<\/p>\n
6. Acteurs p\u00e9riph\u00e9riques : serveurs MID, applications personnalis\u00e9es et exportations de donn\u00e9es<\/h2>\n
La plateforme n\u2019est que rarement isol\u00e9e. Les serveurs MID, les spokes du hub d\u2019int\u00e9gration et les applications personnalis\u00e9es \u00e9tendent les chemins d\u2019ex\u00e9cution et de transfert des donn\u00e9es. En cas de compromission confirm\u00e9e ou suspect\u00e9e, ces n\u0153uds doivent \u00eatre inclus dans le m\u00eame p\u00e9rim\u00e8tre d\u2019incident que l\u2019instance centrale.<\/p>\n
Tous les scripts personnalis\u00e9s ne constituent pas une voie d\u2019ex\u00e9cution de code \u00e0 distance (RCE) pour la CVE-2026-6875. Ce point aborde les compromissions en cascade et les fuites de donn\u00e9es, et non la cause racine de la faille de la sandbox.<\/p>\n
\nListe de v\u00e9rification imm\u00e9diate<\/p>\n
- \n
- ✓<\/span>Auto-h\u00e9berg\u00e9 : v\u00e9rifier la conformit\u00e9 avec la version KB3137947<\/li>\n
- ✓<\/span>H\u00e9berg\u00e9 : v\u00e9rifier l\u2019\u00e9tat des correctifs de l\u2019instance aupr\u00e8s de l\u2019\u00e9diteur<\/li>\n
- ✓<\/span>Journaliser les points de terminaison pr\u00e9-authentification et l\u2019exposition Internet<\/li>\n
- ✓<\/span>Inventorier les int\u00e9grations \u00e0 privil\u00e8ges \u00e9lev\u00e9s<\/li>\n<\/ul>\n<\/div>\n
Priorit\u00e9s imm\u00e9diates et actions diff\u00e9r\u00e9es<\/h2>\n
\u00c0 faire imm\u00e9diatement :<\/strong> Mettre \u00e0 jour l\u2019instance auto-h\u00e9berg\u00e9e vers la version KB3137947, clarifier l\u2019exposition des *pre-auth sinks*, et lister les int\u00e9grations \u00e0 privil\u00e8ges \u00e9lev\u00e9s. En parall\u00e8le (h\u00e9berg\u00e9 par un tiers) :<\/strong> V\u00e9rifier le statut du correctif du fournisseur ainsi que la t\u00e9l\u00e9m\u00e9trie de l\u2019instance. Le fabricant n\u2019a relev\u00e9 aucune preuve d\u2019activit\u00e9 observ\u00e9e sur les instances h\u00e9berg\u00e9es, mais recommande \u00e0 tous ses clients d\u2019appliquer le niveau de correctif actuel. Ensuite :<\/strong> Examiner les logs, proc\u00e9der \u00e0 la rotation des secrets sur les comptes d\u2019int\u00e9gration en cas de suspicion, et fournir une documentation justificative au RSSI. Si n\u00e9cessaire, d\u00e9clarer l\u2019incident conform\u00e9ment \u00e0 la directive NIS2.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nLe CVE-2026-6875 ne concerne-t-il que les solutions auto-h\u00e9berg\u00e9es ?<\/strong><\/summary>\n
Les solutions auto-h\u00e9berg\u00e9es (self-hosted) pr\u00e9sentent un risque op\u00e9rationnel plus \u00e9lev\u00e9, car c\u2019est \u00e0 l\u2019exploitant qu\u2019incombe la responsabilit\u00e9 de la mise \u00e0 jour des correctifs. La version h\u00e9berg\u00e9e (hosted) a re\u00e7u les correctifs d\u00e8s avril. Le fabricant recommande n\u00e9anmoins \u00e0 tous ses clients de se mettre \u00e0 jour. Les clients en version h\u00e9berg\u00e9e doivent v\u00e9rifier leur statut, tandis que ceux en auto-h\u00e9bergement doivent appliquer les correctifs et mesurer leur exposition.<\/p>\n<\/details>\n
\nQue signifie exactement le terme \u00ab pr\u00e9-authentification \u00bb dans ce contexte ?<\/strong><\/summary>\n
Les attaquants n\u2019ont pas besoin d\u2019une session valide dans ServiceNow sur le syst\u00e8me vuln\u00e9rable. La complexit\u00e9 du gadget d\u2019\u00e9chappement peut \u00eatre \u00e9lev\u00e9e. L\u2019absence de n\u00e9cessit\u00e9 de se connecter reste la diff\u00e9rence d\u00e9cisive par rapport aux vuln\u00e9rabilit\u00e9s administratives post-authentification.<\/p>\n<\/details>\n
\nDes r\u00e8gles WAF suffisent-elles \u00e0 la place d\u2019un correctif ?<\/strong><\/summary>\n
Les WAF et les restrictions au niveau des terminaux sont des mesures imm\u00e9diates judicieuses. Le correctif du fournisseur reste la solution d\u00e9finitive. Defused d\u00e9crit un autre gadget que celui du PoC public ; une simple signature bas\u00e9e sur ce PoC est insuffisante.<\/p>\n<\/details>\n
\nServiceNow a-t-il confirm\u00e9 une exploitation active ?<\/strong><\/summary>\n
Defused signale une activit\u00e9 in-the-wild. ServiceNow a indiqu\u00e9 \u00e0 BleepingComputer n\u2019avoir d\u00e9tect\u00e9 aucune preuve de cette activit\u00e9 sur les instances h\u00e9berg\u00e9es par ses soins. Le fabricant rappelle en outre la disponibilit\u00e9 de mises \u00e0 jour. Ces deux d\u00e9clarations doivent \u00eatre consid\u00e9r\u00e9es conjointement.<\/p>\n<\/details>\n
\nQuel r\u00f4le jouent les int\u00e9grations apr\u00e8s une ex\u00e9cution de code \u00e0 distance (RCE) ?<\/strong><\/summary>\n
Vous d\u00e9terminez l\u2019\u00e9tendue de l\u2019impact : provisionnement AD, API cloud, donn\u00e9es RH et CMDB. En cas d\u2019exploitation confirm\u00e9e ou hautement probable, les comptes de service et les applications OAuth doivent \u00eatre trait\u00e9s dans le m\u00eame incident que la plateforme elle-m\u00eame.<\/p>\n<\/details>\n
<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-19-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Mod\u00e8les OpenAI pirat\u00e9s sur Hugging Face : ce qui doit \u00eatre<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-17-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Qu\u2019est-ce que le SOAR ? D\u00e9finition, playbooks et diff\u00e9renciation<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-18-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Plugins CoreDNS : Cluster-DNS vuln\u00e9rable sans authentification<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-warum-die-cloud-rechnung-nie-kleiner-wir-41446305-250x143.jpg\")
<\/span>Digital Chiefs<\/span>Pourquoi la facture cloud ne diminue jamais<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-google-dma-890-mio-euro-60-tage-frist-25438961.jpg\")
<\/span>cloudmagazin<\/span>Amende du DMA contre Google : 890 millions d\u2019euros<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Sandbox d’\u00e9vasion Pre-Auth CVE-2026-6875 : six v\u00e9rifications op\u00e9rationnelles pour Self-Hosted et Hosted.","protected":false},"author":50,"featured_media":22663,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"ServiceNow CVE-2026-6875","_yoast_wpseo_title":"ServiceNow-RCE : six v\u00e9rifications avant le ticket","_yoast_wpseo_metadesc":"CVE-2026-6875 Pre-Auth-RCE dans ServiceNow : Stand des correctifs, points d'int\u00e9gration et Self-Hosted vs Hosted en six v\u00e9rifications pour les \u00e9quipes IT.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256],"tags":[],"class_list":["post-22679","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr"],"evm_reading_time_minutes":8,"wpml_language":"fr","wpml_translation_of":22659,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22679","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=22679"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22679\/revisions"}],"predecessor-version":[{"id":22681,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22679\/revisions\/22681"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/22663"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=22679"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=22679"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=22679"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - ✓<\/span>H\u00e9berg\u00e9 : v\u00e9rifier l\u2019\u00e9tat des correctifs de l\u2019instance aupr\u00e8s de l\u2019\u00e9diteur<\/li>\n
- Auto-h\u00e9berg\u00e9 en priorit\u00e9.<\/strong> Le correctif KB3137947 (d\u00e9ploiement le 13.07.2026) constitue la condition sine qua non. Les correctifs pour les instances h\u00e9berg\u00e9es ont \u00e9t\u00e9 d\u00e9ploy\u00e9s d\u00e8s avril.<\/li>\n