Underc0de - La Casa de los Informáticos

ServiceNow ha lanzado actualizaciones de seguridad para corregir tres vulnerabilidades críticas de máxima gravedad en su Plataforma de IA, anteriormente conocida como Now Platform. Los fallos de seguridad podrían permitir a atacantes ejecutar código arbitrario, realizar ataques de inyección SQL y elevar privilegios dentro de los sistemas afectados.

Las vulnerabilidades, identificadas como CVE-2026-18885, CVE-2026-18886 y CVE-2026-74820, afectan a una plataforma empresarial ampliamente utilizada para integrar capacidades de inteligencia artificial y automatización en los flujos de trabajo corporativos.

La compañía ha instado a sus clientes a aplicar las actualizaciones de seguridad con rapidez, especialmente aquellos que mantienen instancias autoalojadas de ServiceNow, debido al riesgo potencial que representan estos fallos.

Tres vulnerabilidades críticas afectan a ServiceNow

Según la información proporcionada por ServiceNow, las tres vulnerabilidades corregidas presentan características especialmente preocupantes. Entre ellas destaca que pueden ser explotadas por atacantes no autenticados, mediante ataques de baja complejidad y sin necesidad de interacción por parte de la víctima.

Esta combinación incrementa considerablemente el riesgo para organizaciones que utilizan la plataforma para administrar información empresarial, procesos internos, aplicaciones y servicios basados en inteligencia artificial.

La primera vulnerabilidad, CVE-2026-18885, está relacionada con una inyección de código que podría permitir a un atacante ejecutar código arbitrario en el entorno afectado. Una vulnerabilidad de este tipo puede tener consecuencias graves, ya que la ejecución de código controlada por un atacante puede convertirse en el punto de partida para comprometer otros componentes de una infraestructura.

La segunda, CVE-2026-18886, también está vinculada con una debilidad de inyección de código, pero en este caso puede ser aprovechada para realizar una escalada de privilegios. Esto significa que un atacante que consiga explotar el fallo podría aumentar sus permisos dentro del entorno y acceder a funcionalidades o recursos que originalmente no debería poder utilizar.

Por último, CVE-2026-74820 corresponde a una vulnerabilidad de inyección SQL que podría permitir a actores maliciosos acceder o modificar información almacenada en las instancias afectadas.

La combinación de estos tres problemas representa un escenario de riesgo considerable para empresas que dependen de ServiceNow como parte de sus operaciones digitales.

ServiceNow recomienda instalar los parches cuanto antes

ServiceNow confirmó que sus sistemas en la nube ya fueron actualizados para mitigar las vulnerabilidades. Sin embargo, la compañía también recomendó a los clientes que utilizan instalaciones autoalojadas que apliquen las actualizaciones correspondientes o migren a versiones que ya incorporen los parches de seguridad.

La empresa señaló que, por el momento, no tiene conocimiento de explotación maliciosa de estas tres vulnerabilidades contra instancias de ServiceNow.

A pesar de ello, la ausencia de explotación conocida no significa que las organizaciones puedan retrasar la instalación de las actualizaciones. Las vulnerabilidades críticas en plataformas empresariales suelen convertirse en objetivos atractivos una vez que los detalles técnicos o las pruebas de concepto comienzan a circular públicamente.

Por este motivo, los administradores deberían revisar inmediatamente las versiones utilizadas en sus entornos y comprobar que las correcciones de seguridad hayan sido aplicadas correctamente.

ServiceNow también corrige una vulnerabilidad de escape de sandbox

Además de los tres fallos críticos, ServiceNow solucionó otro problema de seguridad de alta gravedad, identificado como CVE-2026-6876.

Esta vulnerabilidad está relacionada con un escape de sandbox en la Plataforma de IA y podría permitir que un atacante con privilegios básicos ejecutara código remotamente en los sistemas afectados.

Los mecanismos de sandbox están diseñados para limitar las acciones que puede realizar un proceso o código potencialmente peligroso. Por tanto, una vulnerabilidad que permita escapar de estas restricciones puede representar un riesgo significativo, especialmente en plataformas que ejecutan aplicaciones, automatizaciones o componentes relacionados con inteligencia artificial.

La corrección de este fallo refuerza la importancia de mantener actualizados todos los componentes de ServiceNow y no limitar las tareas de seguridad únicamente a las tres vulnerabilidades clasificadas como críticas.

Antecedentes de ataques contra vulnerabilidades de ServiceNow

La preocupación por estos nuevos fallos aumenta debido a los antecedentes de explotación de vulnerabilidades de ServiceNow registrados durante los últimos años.

En 2024, actores maliciosos utilizaron una cadena formada por tres vulnerabilidades —CVE-2024-4879, CVE-2024-5178 y CVE-2024-5217— para comprometer organizaciones privadas y organismos gubernamentales.

Los atacantes aprovecharon exploits disponibles públicamente para llevar a cabo campañas dirigidas al robo de información. El incidente demostró que las plataformas empresariales de gestión y automatización pueden convertirse en objetivos prioritarios cuando aparecen vulnerabilidades que permiten obtener acceso remoto o manipular información.

Este antecedente resulta especialmente relevante para los administradores de ServiceNow, ya que demuestra que la publicación de una vulnerabilidad puede ser seguida rápidamente por intentos de explotación.

Nueva vulnerabilidad crítica explotada en julio

El historial reciente de ServiceNow también incluye CVE-2026-6875, una vulnerabilidad crítica de ejecución de código relacionada con un escape de sandbox y que, según informes publicados en julio, comenzó a ser explotada en ataques.

La existencia de explotación de otros fallos recientes aumenta la presión para que los administradores apliquen inmediatamente las nuevas actualizaciones de seguridad.

El escenario resulta todavía más delicado porque ServiceNow se utiliza como una plataforma central dentro de muchas organizaciones. Una intrusión exitosa no necesariamente quedaría limitada a un único sistema: dependiendo de la configuración, las credenciales, integraciones y permisos disponibles, un atacante podría intentar utilizar el acceso conseguido para avanzar hacia otros recursos corporativos.

ServiceNow también reveló un incidente de seguridad

El historial más reciente de seguridad de la compañía incluye además la revelación de un incidente en el que investigadores de seguridad o investigaciones dirigidas por clientes utilizaron una vulnerabilidad de acceso no autenticado asociada con un endpoint API vulnerable.

El problema permitió consultar información almacenada en instancias de clientes.

Aunque este incidente se diferencia técnicamente de las vulnerabilidades corregidas ahora, pone de manifiesto un aspecto importante: las interfaces API y los mecanismos de acceso de plataformas empresariales deben recibir una vigilancia constante.

Las API representan una pieza fundamental en los ecosistemas modernos de software porque permiten conectar aplicaciones, servicios y automatizaciones. Sin controles adecuados, una vulnerabilidad en uno de estos puntos puede proporcionar acceso no autorizado a información empresarial.

¿Qué deben hacer los administradores de ServiceNow?

Las organizaciones que utilizan la Plataforma de IA ServiceNow deberían considerar estas vulnerabilidades como una prioridad de seguridad y adoptar varias medidas.

En primer lugar, es fundamental identificar todas las instancias de ServiceNow utilizadas por la organización y comprobar si están afectadas por las versiones vulnerables.

Después, los administradores deben instalar las actualizaciones proporcionadas por ServiceNow siguiendo las instrucciones oficiales. En entornos autoalojados, esta tarea requiere especial atención, ya que la responsabilidad de mantener determinadas versiones y componentes actualizados puede recaer directamente sobre el cliente.

También es recomendable revisar los registros de actividad para detectar comportamientos anómalos, especialmente intentos inesperados de acceso, modificaciones de datos, ejecución de código o utilización inusual de cuentas con privilegios.

Asimismo, las organizaciones deberían aplicar el principio de mínimo privilegio, limitar las cuentas administrativas y revisar periódicamente los permisos asignados a usuarios, aplicaciones e integraciones.

La seguridad de las plataformas de IA gana importancia

La aparición de estas vulnerabilidades demuestra que la seguridad de las plataformas empresariales de inteligencia artificial se está convirtiendo en un aspecto cada vez más relevante.

A medida que las empresas incorporan IA a procesos críticos, estas plataformas dejan de ser herramientas aisladas y pasan a interactuar con bases de datos, aplicaciones internas, APIs, sistemas de autenticación y grandes volúmenes de información corporativa.

Por ello, una vulnerabilidad que permita ejecutar código, escalar privilegios o manipular bases de datos puede tener consecuencias mucho mayores que las asociadas tradicionalmente a una aplicación independiente.

En el caso de ServiceNow, la escala de utilización de su plataforma convierte cualquier vulnerabilidad crítica en un asunto que merece especial atención por parte de los equipos de ciberseguridad.

En fin...

ServiceNow ha corregido tres vulnerabilidades críticas en su Plataforma de IA: CVE-2026-18885, CVE-2026-18886 y CVE-2026-74820. Los fallos permiten, dependiendo de la vulnerabilidad, ejecutar código arbitrario, escalar privilegios o acceder y modificar datos mediante inyección SQL.

Aunque ServiceNow afirma que actualmente no tiene conocimiento de explotación maliciosa de estos tres fallos, el historial reciente de ataques contra vulnerabilidades de sus productos demuestra que aplicar los parches rápidamente es esencial.

Las empresas que utilizan instancias autoalojadas deben comprobar sus versiones y aplicar las actualizaciones disponibles cuanto antes. También resulta recomendable revisar registros, permisos, endpoints API y posibles indicadores de compromiso.

En un contexto donde la inteligencia artificial está cada vez más integrada en los procesos empresariales, mantener actualizadas las plataformas que gestionan estos servicios es una parte fundamental de cualquier estrategia moderna de ciberseguridad empresarial.

Fuente: https://www.bleepingcomputer.com/