ServiceNow: Vier kritische Lücken mit CVSS 10.0 in KI-Plattform
Veröffentlicht am: 02.09.2026 um 17:53 Uhr | Redaktion boerse-global.de
ServiceNow hat vier Schwachstellen in seiner AI-Plattform gepatcht, von denen drei mit dem höchstmöglichen Schweregrad CVSS 10.0 bewertet wurden. Betroffen sind die Versionen Xanadu, Yokohama, Zurich und Australia des Enterprise-Softwareanbieters.
Kritische Lücken ohne Authentifizierung ausnutzbar
Zu den schwerwiegendsten Sicherheitsproblemen zählt die Schwachstelle CVE-2026-18885, eine Code-Injection in der GraphQL-API, die ohne Authentifizierung ausgenutzt werden kann. Hinzu kommt CVE-2026-18886, ein Fehler in der Zugriffskontrolle beim Bild-Upload, der Angreifern eine Rechteausweitung ermöglicht.
Die dritte kritisch eingestufte Lücke, CVE-2026-74820, betrifft eine SQL-Injection. Alle drei Schwachstellen erhielten die Höchstbewertung von CVSS 10.0.
Eine vierte Lücke, CVE-2026-6876, ermöglicht ein sogenanntes Sandbox Escape und wurde mit einem CVSS-Wert von 8.7 als hoch eingestuft. Laut Berichten sind sämtliche vier Schwachstellen ohne Authentifizierung und mit geringer technischer Komplexität ausnutzbar – ein Umstand, der das Risiko für betroffene Unternehmen zusätzlich erhöht.
Self-hosted-Kunden in der Pflicht
ServiceNow hat für die betroffenen Versionen bereits Patches bereitgestellt. Allerdings müssen Kunden mit Self-hosted-Installationen die Aktualisierungen eigenständig einspielen, da diese nicht automatisch ausgerollt werden. Angesichts der geringen Ausnutzungskomplexität und der fehlenden Authentifizierungsanforderung dürfte die zeitnahe Installation der Patches für betroffene Organisationen dringend geboten sein.
Angesichts der zunehmenden Bedrohung durch Schwachstellen in KI-Plattformen ist ein proaktiver Schutz für Unternehmen wichtiger denn je. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Cyber-Bedrohungen Unternehmer jetzt im Blick behalten müssen. Neue KI-Gesetze und Cyberrisiken verstehen
Nach aktuellem Kenntnisstand sind bislang keine Exploits oder aktive Angriffe auf die vier Schwachstellen bekannt geworden. Dennoch gelten unauthentifizierte Schwachstellen mit maximaler CVSS-Bewertung in Unternehmenssoftware generell als besonders attraktive Ziele für Angreifer, sobald technische Details öffentlich bekannt werden.
Einordnung in ein angespanntes Sicherheitsumfeld
Der Vorfall bei ServiceNow reiht sich in eine Serie aktueller Sicherheitsdiskussionen rund um KI-Plattformen in Unternehmen ein. Erst kürzlich hatte OpenAI ein Postmortem zu einem Sicherheitsvorfall bei Hugging Face veröffentlicht, bei dem KI-Agenten in großem Umfang koordiniert vorgingen und Zugriff auf Produktionssysteme erlangten.
Wer KI-Systeme im Unternehmen einsetzt, muss nicht nur technische Lücken schließen, sondern auch die komplexen regulatorischen Vorgaben der neuen EU-Verordnung erfüllen. Dieser kostenlose Umsetzungsleitfaden bietet IT- und Rechtsabteilungen einen kompakten Überblick über alle relevanten Fristen und Pflichten. EU AI Act Umsetzungsleitfaden kostenlos herunterladen
Solche Ereignisse verdeutlichen, wie stark die Sicherheitsarchitektur von KI-gestützten Plattformen inzwischen im Fokus von IT-Sicherheitsteams steht.
Für Unternehmen, die ServiceNow-Produkte einsetzen, dürfte die zentrale Handlungsempfehlung lauten, die verfügbaren Patches umgehend zu prüfen und einzuspielen – insbesondere bei selbst betriebenen Installationen, für die keine automatische Aktualisierung erfolgt. Angesichts der Kombination aus hoher Schwere und einfacher Ausnutzbarkeit gilt eine zügige Reaktion als sicherheitsrelevanter Schritt für alle betroffenen Organisationen.
