TL;DR
- 01何が起きたか
ServiceNow AI Platform に、ログインせずに届くページ（
/assessment_thanks.do）の入力を JavaScript として評価させ、サンドボックスを抜けて任意のコードを動かせる脆弱性 CVE-2026-6875（CVSS 4.0 で 9.5）があった。Searchlight Cyber が 4 月 1 日に報告し、ServiceNow は 24 時間以内にクラウドへ緩和策を入れ、7 月 13 日にアドバイザリを公開した。発見者が 14 日に詳細を公開すると、17 日には悪用の試行が観測された。 - 02なぜ見分けられないか
抜けたコードは、どのテーブルのデータも読み、管理者を作り、社内ネットワークに置かれた中継サーバー（MID Server）でコマンドを動かせる。どれも、基盤から見ればシステム自身の正規の処理として実行される。
- 03欠けていた層
実際の侵害は報告されていないが、詳細の公開から 3 日で、修正を当てていないインスタンスに向けた試行は始まった。効かなかったのは、どの入口から来たかに関係なく、管理者の作成のような権限を変える操作を、実行の前に誰に許されたかで確かめる層である。
何が起きたか
- 対象
- ServiceNow AI Platform。企業の IT・人事・顧客対応などの業務を載せる基盤で、同社によれば Fortune 500 の 85% 超が使う。
- 脆弱性
- CVE-2026-6875。ログイン前に届くページ
/assessment_thanks.doのパラメータが、データの検索条件として JavaScript のまま評価される。評価はサンドボックスの中で行われるが、別のスクリプトを読み込む仕組みを使うと制限の外に出られた。 - 深刻度
- CVSS 4.0 で 9.5（Critical、ServiceNow の採点）。攻撃の難しさは「高」と評価されている。
- できること
- どのテーブルのデータも読める。管理者を作れる。社内ネットワークにある中継サーバー（MID Server）でコマンドを実行できる（発見者）。
- 修正
- クラウドのインスタンスには報告から 24 時間以内に緩和策が入った。7 月 13 日のアドバイザリで、各系列（Zurich、Yokohama、Australia、Brazil）の修正版を示した。修正版は、ログイン前の通信に「1 つの式しか実行させない」制限（Guarded Script）を直ちに効かせる。
- 悪用
- 7 月 17 日から試行が観測された。Defused は捕らえたペイロードが発見者の公開した検証用のものと同じだと述べている（当初の「別の経路」は 20 日に訂正）。実際の侵害は報告されておらず、CISA の悪用確認済み脆弱性カタログ（KEV）にも載っていない（2026-10-20 時点）。
用語メモ
サンドボックス — 外から受け取ったコードを、できることを制限した環境で動かす仕組み。制限の外に出られると、システムの権限で何でもできる。
ログイン前の入口（pre-auth） — ログインしていない人でも届くページや API。ここに穴があると、誰でも攻撃を試せる。
MID Server — ServiceNow が社内ネットワークのサーバーとやり取りするために、利用企業の中に置く中継サーバー。
入口の穴はパッチで塞ぐ。止めどころは ④ にもあり、権限を変える操作を実行の前に誰に許されたかで確かめれば、穴を抜けても全権にはならない。
/assessment_thanks.do
サンドボックスの中で。
制限の無い環境で動く。
正規の処理として実行される。
時系列 — 公表と対応
- Searchlight Cyber が ServiceNow に報告。ServiceNow は 24 時間以内に、すべてのクラウドのインスタンスへ緩和策を入れた。
- ServiceNow がアドバイザリ（KB3137947）を公開し、修正版を案内。「当社のインスタンスに対する悪用は、現時点で把握していない」。
- Searchlight Cyber が技術的な詳細を公開。
- 悪用の試行が観測され始める（報道）。
- Defused が X で公表。発見者の公開した PoC とは別の経路だと述べた。
- Defused が訂正し、捕らえたペイロードは公開されたものと同じだとした。ServiceNow は報道に、自社がホストするインスタンスに関わる証拠は観測していないと述べた。カナダのサイバーセキュリティセンターも、悪用の報告を注意喚起に追記した。
事実は ServiceNow のアドバイザリ、Searchlight Cyber の研究、Defused の投稿（いずれも一次）と報道に拠る。セルフホスト型の修正がいつ届いたかは、報道によって 6 月と 7 月 13 日で食い違う。2026 年 10 月の時点で、実際の侵害、KEV への登録、日本の公的機関の注意喚起は確認できない。
公表後の対応
- SecurityWeek: 観測された試行は、脆弱なシステムを探すセキュリティ業界の者による可能性もあると伝えた。
- ServiceNow: 修正版の Guarded Script は、ログイン前の通信には直ちに効き、ログイン後の通信にはクラウドで約 4 週間かけて広げる。セルフホスト型では、管理者が段階を手で進める。
なぜ止まらなかったか
この事案の失敗は、利用企業の不注意でも、パッチの遅れだけでもない。ログイン前の入口に入った値がサンドボックスを抜けると、データの読み出しも管理者の作成も、誰に許されたかを問われないまま、基盤の正規の処理として通る作りだった。
ログイン前の入口に入った値がサンドボックスを抜けると、その後の操作は、誰に許されたかを問われないまま正規の処理として通った。
証明は操作が実行される前に働き、検出は試行や異常が表に出た後に働く。その間、入口を抜けたコードの操作は正規の処理として扱われる。
公開から試行まで 3 日
検出は働いた。ServiceNow は報告から 24 時間でクラウドに緩和策を入れ、Defused は詳細の公開から 3 日で試行を捕らえている。ただ、パッチは見つかった入口を塞ぐもので、「入口に届いた」と「この操作が許されている」は別々の事実なのに、この基盤では前者が後者を兼ねていた。この隔たりが検出と証明の落差であり、構造的な欠落である。
同じ構造は、ServiceNow の未認証 API（設定一つで認証が外れ、顧客インスタンスのデータが照会された）にも現れている。
対策するには
入口の穴は塞ぎ、抜けた後の操作は権限で止める。修正版を当て、ログイン前に届く入口を減らす。そのうえで、管理者の作成や社内のサーバーでのコマンドのように権限を変える操作は、どの入口から来たかに関係なく、実行の前に誰に許された操作かを確かめる。次の穴が見つかっても、全権には届かない。
注意したい業界・業務
- 業界AI導入（業種横断）
- IT・人事・顧客対応の業務を、ServiceNow のような業務基盤に載せている組織。基盤には業務データと、社内システムへの接続が集まる。
- 業務アカウント・権限の管理
- 管理者アカウントの作成と、基盤から社内のサーバーへの接続。今回はどちらも、ログイン前の 1 リクエストから届きうる。
いまの対策で防げるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 修正版の適用 | 一部 | 見つかった入口は塞がる。適用までの間と、次に見つかる入口には効かない。 |
| ログインと多要素認証（MFA） | 関係しない | 入口はログインの前にあった。 |
| サンドボックス | 効かない | 制限の外に出る方法があった。 |
| 管理者の作成や接続の監視 | 一部 | 気づくことはできるが、作られた後になる。 |
- 修正版を当て、ログイン前に届く入口を減らす。セルフホスト型では、Guarded Script の段階も自分で進める。使っていない公開ページやゲストの通信は止める。
- 権限を変える操作は、入口と関係なく、実行の前に確かめる。管理者の作成、ロールの付与、社内のサーバーでのコマンドは、誰がどの許可で行うのかを照合し、照合できなければ通さない。
- どの許可でどの操作をしたかを、基盤とは別に残す。止めた操作と通した操作を、後から第三者に示せる形、つまり証明として残す。
業務基盤（クラウド・自社運用）について、組織で確かめる 3 項目
- ログインせずに届く入口のうち、使っていないものを閉じているか。
- 新しい管理者アカウントが作られたとき、誰に知らせが届くか。
- 重大な脆弱性が公表されたとき、何日以内に修正版を当てるかが決まっているか。
注：入口を抜けたコードが、許可を照合する仕組みそのものを書き換えられる位置で動けば、この確認も破られうる。照合を基盤の外に置くほど強くなるが、正規の管理作業にも手間が増える。
Sources
- 一次・ベンダーのアドバイザリServiceNow「CVE-2026-6875 - Sandbox Escape in ServiceNow AI Platform」
- 一次・発見者の研究Searchlight Cyber「Smashing the ServiceNow Sandbox: Pre-Authentication RCE」
- 一次・X の投稿Defused 悪用の試行の観測
- 一次・X の投稿Defused ペイロードが公開 PoC と同じだったとする訂正
- 一次・脆弱性データベースNVD CVE-2026-6875
- 一次・注意喚起カナダ サイバーセキュリティセンター「ServiceNow security advisory (AV26-693)」
報道・解析 3 件
- 報道BleepingComputer「Critical ServiceNow code execution flaw now exploited in attacks」
- 報道Help Net Security「ServiceNow pre-auth RCE exploited in the wild (CVE-2026-6875)」
- 報道SecurityWeek「Exploitation of ServiceNow Vulnerability Seen Days After Disclosure」
参照: 「AI 時代のサイバー防衛に残された、最後の層」、「Proof-as-Auth: 鍵を一度も送らずにサインインする」