ServiceNow, Segurança da Informação

Vulnerabilidade crítica no ServiceNow AI Platform (CVE-2026-6875): o que aconteceu e como responder

CVE-2026-6875: RCE pré-autenticação (CVSS 9.5) na ServiceNow AI Platform sob exploração ativa. O que aconteceu e como responder agora.

julho 24, 2026 4MATT Insights

A CVE-2026-6875 é uma vulnerabilidade crítica na ServiceNow AI Platform (ex-Now Platform) que permite execução remota de código sem autenticação, com severidade CVSS 9.5. Divulgada publicamente em 13 de julho de 2026 e sob exploração ativa desde 18 de julho, ela deixa instâncias expostas ao risco de comprometimento total. Este artigo explica o que aconteceu, qual é o impacto real e quais passos de resposta sua organização deve executar agora.

O que é a vulnerabilidade ServiceNow CVE-2026-6875

A CVE-2026-6875 é classificada como um sandbox escape pré-autenticação: uma falha que permite a um atacante escapar do ambiente restrito de execução de scripts do servidor e rodar código arbitrário na instância, sem precisar de credenciais válidas. A ServiceNow AI Platform é a camada que sustenta a maior parte das ferramentas de ITSM, ITOM e automação de workflows da plataforma, o que amplia a superfície de impacto da falha.

A pontuação CVSS 9.5 reflete a combinação que torna esta vulnerabilidade especialmente grave: execução remota de código, ausência de necessidade de autenticação e uma plataforma que costuma ocupar o centro das operações de TI de grandes organizações.

Linha do tempo da divulgação e da exploração

Data Evento
01/04/2026 Pesquisadores da Searchlight Cyber (Assetnote) reportam a falha à ServiceNow.
Abril/2026 ServiceNow aplica correção nas instâncias que hospeda.
Junho/2026 Patches e atualizações de segurança disponibilizados a clientes self-hosted e parceiros.
13/07/2026 Divulgação pública da CVE-2026-6875 e do detalhamento técnico da Searchlight Cyber.
18/07/2026 A empresa de inteligência de ameaças Defused observa as primeiras tentativas de exploração in-the-wild.

Como o ataque funciona

O vetor observado alcança um fluxo pré-autenticação por meio do endpoint /assessment_thanks.do. Um parâmetro controlado pelo atacante é repassado à API de consulta GlideRecord, cujo tratamento de filtros aceita expressões do tipo javascript:. Quando o input malicioso é processado, isso cria um caminho de execução de script antes de qualquer verificação de identidade.

Um detalhe eleva o risco: a Defused observou que as tentativas reais atingem o mesmo ponto de entrada documentado pela Searchlight Cyber, porém por um gadget chain diferente do prova de conceito publicado. Na prática, a vulnerabilidade estrutural não se resume a um único caminho de exploração, o que reduz a eficácia de defesas ajustadas apenas ao PoC original.

Qual é o impacto real para a operação

Segundo a Searchlight Cyber, a exploração bem-sucedida pode permitir a leitura de dados sensíveis da plataforma, a criação de contas administrativas e a execução de comandos por meio de MID Servers e infraestrutura de proxy configurada. Como o MID Server conecta a instância a sistemas internos, o comprometimento pode se estender para além do ambiente ServiceNow.

Para o negócio, isso significa que um atacante que toma a plataforma não alcança um servidor isolado: ele alcança o sistema que orquestra incidentes, o banco de dados de configuração (CMDB), a automação de processos e os fluxos apoiados por IA. A exposição potencial inclui registros operacionais, dados de configuração e as integrações que ligam a instância à rede corporativa.

A posição da ServiceNow e da inteligência de ameaças

As duas leituras precisam ser lidas em conjunto. A ServiceNow declarou que, com base na investigação até o momento, não observou evidência de que a atividade relatada esteja relacionada a instâncias que a própria empresa hospeda, e reforçou a recomendação de aplicar os patches. Já a Defused afirma observar exploração ativa da falha desde 18 de julho.

A conciliação prática é direta: independentemente da atribuição da atividade, existe um patch disponível e um vetor tecnicamente comprovado. Instâncias self-hosted não atualizadas concentram o maior risco, porque a correção depende de ação do próprio cliente.

O que fazer agora: passos de resposta

  1. Aplicar o patch ou atualizar para uma release corrigida. Consulte o advisory oficial da ServiceNow (artigo KB3137947) para confirmar as versões e famílias de release corrigidas aplicáveis à sua instância.
  2. Habilitar o Guarded Script. A ServiceNow introduziu esse controle para restringir fortemente o código permitido em contextos de sandbox, reduzindo a probabilidade de novos escapes pré-autenticação.
  3. Reduzir a exposição. Limite o acesso externo a endpoints não essenciais e reavalie a superfície pública da instância.
  4. Monitorar MID Servers e proxies. Verifique atividade anômala, contas administrativas recém-criadas e requisições suspeitas ao endpoint afetado.
  5. Tratar o caso como incidente de fornecedor crítico. Documente a exposição, o plano de correção e a verificação pós-patch dentro da sua governança de risco.

Por que isso é um risco de fornecedor crítico

Plataformas como a ServiceNow concentram funções operacionais essenciais, o que as coloca no perímetro de regulações de resiliência operacional. Sob a ótica do DORA (Digital Operational Resilience Act), um provedor desse porte tende a figurar no registro de terceiros de TIC, com dependências mapeadas e um plano de continuidade caso a plataforma falhe ou seja comprometida. A CVE-2026-6875 também reforça que a segurança da camada de IA corporativa é superfície de ataque no presente, não um debate futuro.

Como a 4MATT apoia a resposta a esta vulnerabilidade ServiceNow

Como ServiceNow Elite Partner no Brasil, a 4MATT atua na resposta estruturada a vulnerabilidades sobre a plataforma, combinando três frentes. A primeira é a identificação de exposição: uso de ITOM Discovery e do CMDB para mapear instâncias, releases e MID Servers em risco. A segunda é a governança de correção: planejamento e verificação de patching dentro de Serviços Gerenciados, com rastreabilidade do antes e do depois. A terceira é a disciplina de segurança e governança em ServiceNow, alinhando controles, evidências e continuidade a frameworks de risco.

Essa abordagem conecta a resposta técnica imediata à gestão de segurança da informação de longo prazo, tratando o incidente não como evento isolado, mas como parte da maturidade operacional da plataforma. Para o contexto de plataforma, veja também o que é ServiceNow.

Perguntas frequentes

O que é a CVE-2026-6875?

É uma vulnerabilidade crítica (CVSS 9.5) de execução remota de código pré-autenticação na ServiceNow AI Platform, decorrente de um escape de sandbox que permite executar código sem credenciais válidas.

A CVE-2026-6875 está sendo explorada ativamente?

A empresa de inteligência de ameaças Defused relata exploração ativa desde 18 de julho de 2026. A ServiceNow afirma não ter observado evidência de que a atividade esteja relacionada a instâncias que ela hospeda. Existe patch disponível e um vetor de ataque tecnicamente comprovado.

Minhas instâncias hospedadas pela ServiceNow estão protegidas?

A ServiceNow informou ter aplicado a correção nas instâncias que hospeda a partir de abril de 2026. O maior risco recai sobre instâncias self-hosted que ainda não aplicaram o patch, pois a atualização depende de ação do cliente.

Como sei se minha instância foi comprometida?

Monitore requisições ao endpoint /assessment_thanks.do, contas administrativas criadas de forma inesperada e atividade anômala em MID Servers e proxies. Registre e investigue qualquer indicador antes e depois da aplicação do patch.

O que é o Guarded Script?

É um controle introduzido pela ServiceNow para restringir fortemente o código permitido em contextos de sandbox, reduzindo a probabilidade de escapes pré-autenticação semelhantes no futuro.