ServiceNow, AI Platform İçin Üç Kritik Güvenlik Açığına Karşı Yama Yayınladı
ServiceNow, AI Platform üzerinde tespit edilen üç kritik güvenlik açığını gideren yamaları yayımlarken müşterilerini kendi barındırdıkları örnekleri güncellemeleri konusunda uyardı. CVE-2026-18885, CVE-2026-18886 ve CVE-2026-74820 olarak izlenen açıklar kod çalıştırma, ayrıcalık yükseltme ve SQL enjeksiyonu saldırılarına kapı aralayabiliyor. ServiceNow, açıkların kimlik doğrulaması gerektirmeyen düşük karmaşıklıktaki saldırılarla istismar edilebildiğini ancak şu aşamada kendi sistemlerine yönelik kötü amaçlı bir istismar tespit etmediğini açıkladı.
ServiceNow Desteklenen Sürümler İçin Yamaları Yayınladı
ServiceNow’un perşembe günü yayımladığı güvenlik duyurusunda yer alan ilk açık CVE-2026-18885, saldırganların sisteme rastgele kod enjekte ederek çalıştırmasına neden olabiliyor. İkinci güvenlik açığı CVE-2026-18886 ise kod enjeksiyonu üzerinden ayrıcalıkların yükseltilmesine zemin hazırlarken üçüncü açık CVE-2026-74820 SQL enjeksiyonu kullanılarak örnek verilerine erişilmesine veya mevcut verilerin değiştirilmesine yol açabiliyor.
ServiceNow AI Platform üzerinde bulunan üç zafiyetin ortak özelliği, saldırganların hedef sisteme giriş yapmadan saldırıyı başlatabilmesi olarak öne çıkıyor. Düşük saldırı karmaşıklığı ile kullanıcı etkileşimi gerektirmeyen yapı, kurumsal ortamlarda açığın erişilebilir saldırı yüzeyini genişlettiği için yama sürecini özellikle önemli hâle getiriyor.
ServiceNow müşterilerinin kullandığı sürüm, uygulanması gereken güncellemenin türünü belirliyor. Xanadu için Patch 11 Hot Fix 7a yayımlanırken Yokohama, Zurich ve Australia sürümleri için farklı patch ile hot fix kombinasyonları sunuldu. Kuruluşların kendi barındırdıkları ServiceNow örneklerinde kullanılan sürümü kontrol ederek ilgili düzeltilmiş pakete geçmesi gerekiyor.
ServiceNow AI Platform, kurumsal iş akışlarına yapay zekâ özellikleri ekleyen bir hizmet olarak platform yapısına dayanıyor. Platformun Fortune 500 şirketlerinin yüzde 85’inde kullanılan kurumsal yapay zekâ uygulamalarına güç verdiğinin belirtilmesi, söz konusu açıkların yalnızca bireysel kullanıcıları değil büyük ölçekli kurumsal veri akışlarını da ilgilendirdiğini ortaya koyuyor.
Dördüncü Açık Uzaktan Kod Çalıştırmaya Yol Açabiliyor
ServiceNow’un aynı güvenlik duyurusunda CVE-2026-6876 koduyla takip edilen yüksek önem dereceli başka bir zafiyet de yer aldı. Temel yetkilere sahip bir saldırgan, söz konusu sandbox kaçış açığını kullanarak hedef sistemde uzaktan kod çalıştırma seviyesine ulaşabiliyor.
Temel yetkiye sahip saldırganların dahi uzaktan kod çalıştırma elde edebilmesi, ayrıcalık sınırlarının güvenlik mimarisindeki önemini artırıyor. ServiceNow’un kritik üç açıkla birlikte söz konusu zafiyeti de gidermesi, müşterilerin yalnızca maksimum önem derecesine sahip CVE kayıtlarını değil aynı gün yayımlanan ilgili güvenlik düzeltmelerinin tamamını değerlendirmesini gerektiriyor.
ServiceNow müşterilerinin karşı karşıya kaldığı risk, platformun geçmişte yaşadığı saldırılar nedeniyle daha geniş bir güvenlik bağlamına sahip. Tehdit aktörleri 2024 yılında CVE-2024-4879, CVE-2024-5178 ve CVE-2024-5217 açıklarını birlikte kullanarak kamu kurumları ile özel şirketlere ait sistemlerden veri çalmıştı.
Temmuz 2026’da yayımlanan tehdit istihbaratı raporları ise CVE-2026-6875 kodlu ön kimlik doğrulamalı sandbox kaçış açığının saldırganlar tarafından istismar edildiğini bildirdi. ServiceNow ayrıca geçen ay müşteri örneklerinden veri sorgulanmasına yol açan kimlik doğrulamasız bir API erişim açığını araştırmacıların veya müşterilerin yürüttüğü çalışmalar sırasında tespit ettiğini özel olarak açıkladı.
Kurumsal güvenlik ekipleri, ServiceNow örneklerini yamalarken internet üzerinden erişilebilen API uç noktalarını, ayrıcalıklı hesapları ve uygulama entegrasyonlarını da gözden geçirmeli. Özellikle self-hosted ServiceNow kurulumları kullanan kuruluşların satıcının yayımladığı düzeltilmiş sürümlere geçmesi, açıkların henüz saldırılarda kullanıldığına dair bir belirti bulunmamasına rağmen risk penceresini daraltabilir.
ServiceNow’un mevcut aşamada kötü amaçlı istismara dair bilgi bulunmadığını açıklaması, güvenlik ekiplerinin güncelleme kararını ertelemesi için tek başına yeterli bir gerekçe oluşturmuyor. Geçmişte ServiceNow açıklarının zincirleme saldırılarda kullanılmış olması, yeni kritik CVE kayıtlarında saldırı gözlemlenmesini beklemek yerine yama yönetiminin öncelikli yürütülmesini gerektiriyor.
