ServiceNow hat vier Sicherheitslücken in seiner Now-Plattform geschlossen, drei davon mit dem höchstmöglichen CVSS-Wert 10.0. Betroffen ist die Software, mit der viele Konzerne und Behörden ihre IT-Abläufe steuern. Gehostete Instanzen hat der Anbieter bereits nachgezogen, selbst betriebene Systeme hängen dagegen an einem Hotfix, den der Betreiber von Hand einspielt.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- Drei der vier Lücken erreichen CVSS 10.0 und lassen sich ohne Anmeldung ausnutzen.
- Die schwerste schleust über eine GraphQL-Schnittstelle fremden Code ein (CVE-2026-18885).
- Eine SQL-Injection greift die Datenbank hinter der Instanz direkt an (CVE-2026-74820).
- Gehostete Instanzen sind gepatcht, selbst gehostete Kunden spielen KB3152242 selbst ein.
Was steckt hinter den drei 10.0-Lücken?
Drei Einfallstore stecken in der Meldung vom 27. August. Am gefährlichsten ist eine Code-Injection in der GraphQL-Composite-Data-Schnittstelle, über die ein Angreifer eigenen Code ausführt und Instanzdaten liest oder verändert. Der Upload eines Konfigurationsbildes hebelt zusätzlich die Zugriffskontrolle aus und verschafft höhere Rechte. Schließlich öffnet eine dynamisch gebaute Sortierklausel den direkten Weg für eigene SQL-Befehle an die Datenbank.[1]
Kein Login nötig: Alle drei Höchstwertungen greifen ohne gültiges Konto.[2] Diese fehlende Vorauthentifizierung macht die Lücken besonders brisant. Hinzu kommt ein Ausbruch aus der Skript-Sandbox der Now-Plattform mit dem Wert 8.7. Gefunden hat die Kette Searchlight Cyber, dieselbe Firma, die im Juli einen zweiten Weg um dieselbe Sandbox zeigte. Aktiv ausgenutzt wurde bislang keine der Lücken.
Die AI-Plattform als Angriffsfläche zeigt sich in der schwersten Schwachstelle. Die GraphQL-Composite-Data-Schnittstelle gehört zur neuen Daten- und Agentenschicht, die ServiceNow unter dem Namen AI Platform vermarktet. Jede zusätzliche Programmierschnittstelle für KI-Funktionen vergrößert die Fläche, über die sich eine Instanz von außen erreichen lässt.
Warum ist das mehr als ein weiterer Patchday?
Zweite kritische Runde binnen sechs Wochen: Schon im Juli schloss ServiceNow eine Sandbox-Lücke. Kurz darauf fanden Angreifer einen zweiten Weg hinein. Dass jetzt gleich drei Höchstwertungen folgen, deutet auf eine Plattform, deren Schutz vor unangemeldeten Zugriffen mehrfach nachgibt.
Pre-Auth-Fehler in Firmen-SaaS häufen sich über ServiceNow hinaus. Erst im Sommer las ein Fremder über einen offenen Gastzugang monatelang fremde Salesforce- und ServiceNow-Portale. Dieselbe Angriffsklasse trifft Datenbanken direkt, wie die MongoDB-Lücke CVE-2026-8053 zeigte. Auffällig bleibt die Formulierung im Advisory, wonach ein Zugriff nur „unter bestimmten Umständen“ gelinge, ohne dass ServiceNow diese Umstände benennt.
Drei unauthentifizierte Höchstwertungen und ein Sandbox-Ausbruch in einer einzigen Meldung sind kein Zufall, sondern der Beleg für ein Strukturproblem der Plattform. Den Hotfix jetzt als Routine-Update zu behandeln, wäre der teuerste Fehler.
— Michael Dobler, Herausgeber Dr. Web
Was müssen DACH-Betreiber jetzt tun?
Release-Familie bestimmen steht am Anfang. ServiceNow ordnet die Fixes den Versionslinien Xanadu, Yokohama, Zurich und Australia zu, jeweils ab einem bestimmten Patch- und Hotfix-Stand. Läuft die Instanz nicht im Eigenbetrieb, sondern über einen Partner, klärt der Betreiber dort, ob KB3152242 schon eingespielt ist. Für Betreiber im Sinne der NIS2-Richtlinie ist ein ungepatchtes System mit unauthentifizierter Code-Ausführung ein meldepflichtiges Risiko und kein reiner IT-Vorgang.
Zwei Schritte zählen: die passenden Hotfixes aus KB3152242 einspielen und im selben Zug prüfen, welche Gastzugänge und GraphQL-Schnittstellen nach außen offen stehen. Bereits im Juli zeigte sich, dass ein einzelner Patch nicht reicht, sobald ein zweiter Weg um dieselbe Sperre offensteht.
Quellen
[1] ServiceNow: „August 2026 CVE Advisory Notification“ (KB3152242) im Now Support Portal.
[2] National Vulnerability Database: Eintrag zu CVE-2026-18885 (CVSS 10.0, unauthentifiziert).
Mehr Newshunger?
- Vier Tage nach dem Patch: Angreifer umgehen ServiceNows Sandbox über einen zweiten Weg
- Offener Gastzugang: 17 Monate las ein Fremder in Salesforce- und ServiceNow-Portalen
- MongoDB CVE-2026-8053: Wenn die Datenbank zur Falle wird
- CosmosEscape in Azure Cosmos DB: Ein Generalschlüssel öffnete jede Datenbank
- NIS2: Die Produktionshalle wird zur Haftungsfalle
