ServiceNow ha corretto tre vulnerabilità critiche nella propria AI Platform, tutte valutate CVSS 10.0. Le falle, pubblicate il 27 agosto 2026, possono in determinate circostanze consentire a un attaccante non autenticato di eseguire codice, aumentare i privilegi o impartire query SQL arbitrarie. ServiceNow dichiara di non essere al momento a conoscenza di sfruttamento malevolo delle tre nuove vulnerabilità, ma raccomanda ai clienti di verificare e applicare rapidamente gli aggiornamenti disponibili.
Per le aziende che utilizzano ServiceNow non è quindi il momento di aspettare un eventuale attacco: è opportuno verificare subito release, patch level, modalità di hosting e corretta applicazione degli aggiornamenti.
Quali sono le nuove vulnerabilità ServiceNow
L’advisory pubblicato a fine agosto riguarda tre problemi distinti nella ServiceNow AI Platform:
- CVE-2026-18885: code injection che può consentire, in determinate circostanze, l’esecuzione di codice da parte di un utente non autenticato;
- CVE-2026-18886: controllo degli accessi improprio che può permettere la creazione o modifica di dati oltre i privilegi previsti, con possibile privilege escalation;
- CVE-2026-74820: SQL injection che può consentire l’esecuzione di istruzioni SQL arbitrarie sul database sottostante e l’accesso o modifica di dati.
Le tre vulnerabilità hanno ricevuto il punteggio massimo CVSS v4.0 10.0. L’NHS England ha pubblicato il 28 agosto un alert dedicato, ribadendo che le vulnerabilità possono portare a esecuzione di codice arbitrario, escalation dei privilegi o SQL injection.
ServiceNow è già sotto attacco?
È importante distinguere la gravità tecnica dalla presenza di attacchi reali. Al momento della pubblicazione degli advisory, ServiceNow afferma di non essere a conoscenza di sfruttamento malevolo delle tre vulnerabilità. Non è quindi corretto parlare di una campagna di compromissione già confermata.
Questo non riduce però la priorità dell’aggiornamento: si tratta di vulnerabilità raggiungibili via rete che, in determinate condizioni, non richiedono autenticazione né interazione dell’utente. La finestra tra divulgazione di una falla critica e comparsa di tentativi di sfruttamento può essere molto breve.
Quali versioni sono interessate
Gli aggiornamenti riguardano diverse release ServiceNow, comprese le famiglie Xanadu, Yokohama, Zurich e Australia. Il livello esatto di patch necessario cambia in base alla release installata.
Per questo motivo è preferibile non basarsi soltanto sul nome della versione: l’amministratore deve confrontare il proprio patch level con la matrice aggiornata indicata nell’advisory ServiceNow. Per le istanze ospitate direttamente da ServiceNow, il vendor ha distribuito gli aggiornamenti; i clienti devono comunque verificarne l’effettiva applicazione. Per installazioni self-hosted e ambienti gestiti da partner è necessario controllare esplicitamente lo stato dell’aggiornamento.
Cosa devono fare subito le aziende
Checklist operativa
- Identificare tutte le istanze ServiceNow, comprese quelle di test, sviluppo e disaster recovery.
- Verificare famiglia, release e patch level di ogni istanza.
- Confermare l’applicazione dell’aggiornamento anche sulle istanze hosted: non dare per scontato che il solo fatto di essere in cloud equivalga alla verifica.
- Aggiornare immediatamente gli ambienti self-hosted secondo la matrice ufficiale ServiceNow.
- Controllare attività amministrative e modifiche anomale, soprattutto creazione di account, variazioni di privilegi, integrazioni, API e workflow.
- Rivedere gli account di integrazione e le credenziali con privilegi elevati, applicando il principio del minimo privilegio.
- Limitare l’esposizione non necessaria delle interfacce amministrative e integrare gli eventi ServiceNow nel monitoraggio di sicurezza aziendale.
Perché la falla interessa anche chi usa ServiceNow come SaaS
Uno degli errori più comuni è considerare un servizio SaaS completamente esterno alla gestione della sicurezza aziendale. Il provider protegge l’infrastruttura e distribuisce gli aggiornamenti, ma l’azienda rimane responsabile di configurazioni, identità, privilegi, integrazioni e controllo degli accessi.
Una compromissione di una piattaforma ITSM può avere conseguenze particolarmente rilevanti perché ServiceNow può contenere ticket tecnici, informazioni sugli asset, nomi di sistemi, processi interni e integrazioni con altri servizi. Sono dati che, se esposti, possono facilitare movimenti successivi dell’attaccante.
È lo stesso principio alla base di una corretta strategia di protezione del business dagli attacchi informatici: patching, identità, segmentazione e monitoraggio devono lavorare insieme.
Il collegamento con gli attacchi informatici basati sull’IA
La presenza delle vulnerabilità nella AI Platform non significa che siano state create dall’intelligenza artificiale né che serva l’IA per sfruttarle. Il contesto, però, merita attenzione: strumenti automatici stanno riducendo il tempo necessario per analizzare software, produrre varianti di attacco e scalare attività offensive.
EP Consulting ha approfondito questo scenario nell’articolo sugli attacchi informatici con IA nel 2026. Per le aziende la conseguenza pratica è semplice: la velocità di remediation sta diventando importante quanto la capacità di rilevare l’attacco.
Se ServiceNow contiene dati sensibili
Chi utilizza la piattaforma per ticket contenenti informazioni riservate, dati personali o dettagli infrastrutturali dovrebbe includere ServiceNow nella propria classificazione degli asset critici. Oltre alla patch, conviene verificare retention, ruoli amministrativi, MFA, accessi delle terze parti e log disponibili.
In caso di evidenze concrete di compromissione, la priorità non è soltanto aggiornare: occorre preservare i log, delimitare l’incidente, identificare dati e sistemi coinvolti e attivare la procedura di incident response. Per ridurre l’impatto di eventuali attacchi distruttivi rimane inoltre fondamentale una strategia di protezione da ransomware e perdita dei dati.
FAQ sulle vulnerabilità ServiceNow di agosto 2026
Le vulnerabilità ServiceNow sono già sfruttate?
Per CVE-2026-18885, CVE-2026-18886 e CVE-2026-74820 ServiceNow ha dichiarato di non essere a conoscenza di sfruttamento malevolo al momento degli advisory. La situazione può cambiare rapidamente, quindi è necessario verificare gli aggiornamenti senza attendere evidenze di attacchi.
Le tre vulnerabilità richiedono credenziali?
Secondo gli advisory, in determinate circostanze possono essere sfruttate da un utente non autenticato. È uno dei motivi per cui hanno ricevuto una valutazione CVSS 10.0.
Chi usa ServiceNow in cloud deve fare qualcosa?
Sì. ServiceNow ha distribuito l’aggiornamento alle istanze hosted, ma è opportuno confermare patch level e stato dell’istanza e verificare eventuali attività anomale. I clienti self-hosted devono invece applicare direttamente gli aggiornamenti previsti.
È sufficiente installare la patch?
La patch è la priorità, ma per sistemi che gestiscono processi aziendali critici è prudente controllare anche account amministrativi, integrazioni, API, log e modifiche recenti.
Fonti
- NHS England Digital – ServiceNow Now and AI Platforms security advisory, 28 agosto 2026
- ServiceNow Support – security advisories e patch ufficiali
Articolo aggiornato al 30 agosto 2026. Le informazioni tecniche possono cambiare con nuovi advisory o aggiornamenti del vendor.