A CVE-2026-6875 é uma vulnerabilidade crítica na ServiceNow AI Platform (ex-Now Platform) que permite execução remota de código sem autenticação, com severidade CVSS 9.5. Divulgada publicamente em 13 de julho de 2026 e sob exploração ativa desde 18 de julho, ela deixa instâncias expostas ao risco de comprometimento total. Este artigo explica o que aconteceu, qual é o impacto real e quais passos de resposta sua organização deve executar agora.
O que é a vulnerabilidade ServiceNow CVE-2026-6875
A CVE-2026-6875 é classificada como um sandbox escape pré-autenticação: uma falha que permite a um atacante escapar do ambiente restrito de execução de scripts do servidor e rodar código arbitrário na instância, sem precisar de credenciais válidas. A ServiceNow AI Platform é a camada que sustenta a maior parte das ferramentas de ITSM, ITOM e automação de workflows da plataforma, o que amplia a superfície de impacto da falha.
A pontuação CVSS 9.5 reflete a combinação que torna esta vulnerabilidade especialmente grave: execução remota de código, ausência de necessidade de autenticação e uma plataforma que costuma ocupar o centro das operações de TI de grandes organizações.
Linha do tempo da divulgação e da exploração
| Data | Evento |
|---|---|
| 01/04/2026 | Pesquisadores da Searchlight Cyber (Assetnote) reportam a falha à ServiceNow. |
| Abril/2026 | ServiceNow aplica correção nas instâncias que hospeda. |
| Junho/2026 | Patches e atualizações de segurança disponibilizados a clientes self-hosted e parceiros. |
| 13/07/2026 | Divulgação pública da CVE-2026-6875 e do detalhamento técnico da Searchlight Cyber. |
| 18/07/2026 | A empresa de inteligência de ameaças Defused observa as primeiras tentativas de exploração in-the-wild. |
Como o ataque funciona
O vetor observado alcança um fluxo pré-autenticação por meio do endpoint /assessment_thanks.do. Um parâmetro controlado pelo atacante é repassado à API de consulta GlideRecord, cujo tratamento de filtros aceita expressões do tipo javascript:. Quando o input malicioso é processado, isso cria um caminho de execução de script antes de qualquer verificação de identidade.
Um detalhe eleva o risco: a Defused observou que as tentativas reais atingem o mesmo ponto de entrada documentado pela Searchlight Cyber, porém por um gadget chain diferente do prova de conceito publicado. Na prática, a vulnerabilidade estrutural não se resume a um único caminho de exploração, o que reduz a eficácia de defesas ajustadas apenas ao PoC original.
Qual é o impacto real para a operação
Segundo a Searchlight Cyber, a exploração bem-sucedida pode permitir a leitura de dados sensíveis da plataforma, a criação de contas administrativas e a execução de comandos por meio de MID Servers e infraestrutura de proxy configurada. Como o MID Server conecta a instância a sistemas internos, o comprometimento pode se estender para além do ambiente ServiceNow.
Para o negócio, isso significa que um atacante que toma a plataforma não alcança um servidor isolado: ele alcança o sistema que orquestra incidentes, o banco de dados de configuração (CMDB), a automação de processos e os fluxos apoiados por IA. A exposição potencial inclui registros operacionais, dados de configuração e as integrações que ligam a instância à rede corporativa.
A posição da ServiceNow e da inteligência de ameaças
As duas leituras precisam ser lidas em conjunto. A ServiceNow declarou que, com base na investigação até o momento, não observou evidência de que a atividade relatada esteja relacionada a instâncias que a própria empresa hospeda, e reforçou a recomendação de aplicar os patches. Já a Defused afirma observar exploração ativa da falha desde 18 de julho.
A conciliação prática é direta: independentemente da atribuição da atividade, existe um patch disponível e um vetor tecnicamente comprovado. Instâncias self-hosted não atualizadas concentram o maior risco, porque a correção depende de ação do próprio cliente.
O que fazer agora: passos de resposta
- Aplicar o patch ou atualizar para uma release corrigida. Consulte o advisory oficial da ServiceNow (artigo KB3137947) para confirmar as versões e famílias de release corrigidas aplicáveis à sua instância.
- Habilitar o Guarded Script. A ServiceNow introduziu esse controle para restringir fortemente o código permitido em contextos de sandbox, reduzindo a probabilidade de novos escapes pré-autenticação.
- Reduzir a exposição. Limite o acesso externo a endpoints não essenciais e reavalie a superfície pública da instância.
- Monitorar MID Servers e proxies. Verifique atividade anômala, contas administrativas recém-criadas e requisições suspeitas ao endpoint afetado.
- Tratar o caso como incidente de fornecedor crítico. Documente a exposição, o plano de correção e a verificação pós-patch dentro da sua governança de risco.
Por que isso é um risco de fornecedor crítico
Plataformas como a ServiceNow concentram funções operacionais essenciais, o que as coloca no perímetro de regulações de resiliência operacional. Sob a ótica do DORA (Digital Operational Resilience Act), um provedor desse porte tende a figurar no registro de terceiros de TIC, com dependências mapeadas e um plano de continuidade caso a plataforma falhe ou seja comprometida. A CVE-2026-6875 também reforça que a segurança da camada de IA corporativa é superfície de ataque no presente, não um debate futuro.
Como a 4MATT apoia a resposta a esta vulnerabilidade ServiceNow
Como ServiceNow Elite Partner no Brasil, a 4MATT atua na resposta estruturada a vulnerabilidades sobre a plataforma, combinando três frentes. A primeira é a identificação de exposição: uso de ITOM Discovery e do CMDB para mapear instâncias, releases e MID Servers em risco. A segunda é a governança de correção: planejamento e verificação de patching dentro de Serviços Gerenciados, com rastreabilidade do antes e do depois. A terceira é a disciplina de segurança e governança em ServiceNow, alinhando controles, evidências e continuidade a frameworks de risco.
Essa abordagem conecta a resposta técnica imediata à gestão de segurança da informação de longo prazo, tratando o incidente não como evento isolado, mas como parte da maturidade operacional da plataforma. Para o contexto de plataforma, veja também o que é ServiceNow.
Perguntas frequentes
O que é a CVE-2026-6875?
É uma vulnerabilidade crítica (CVSS 9.5) de execução remota de código pré-autenticação na ServiceNow AI Platform, decorrente de um escape de sandbox que permite executar código sem credenciais válidas.
A CVE-2026-6875 está sendo explorada ativamente?
A empresa de inteligência de ameaças Defused relata exploração ativa desde 18 de julho de 2026. A ServiceNow afirma não ter observado evidência de que a atividade esteja relacionada a instâncias que ela hospeda. Existe patch disponível e um vetor de ataque tecnicamente comprovado.
Minhas instâncias hospedadas pela ServiceNow estão protegidas?
A ServiceNow informou ter aplicado a correção nas instâncias que hospeda a partir de abril de 2026. O maior risco recai sobre instâncias self-hosted que ainda não aplicaram o patch, pois a atualização depende de ação do cliente.
Como sei se minha instância foi comprometida?
Monitore requisições ao endpoint /assessment_thanks.do, contas administrativas criadas de forma inesperada e atividade anômala em MID Servers e proxies. Registre e investigue qualquer indicador antes e depois da aplicação do patch.
O que é o Guarded Script?
É um controle introduzido pela ServiceNow para restringir fortemente o código permitido em contextos de sandbox, reduzindo a probabilidade de escapes pré-autenticação semelhantes no futuro.