Hvězdička u CVE znamená, že jsem to číslo vytáhl z širšího textu článku.
Neukazuju u něj proto KEV, EPSS ani CVSS, a to preventivně, protože článek se na něj mohl
jen odkazovat, třeba jako na starší kauzu.
Servicenet vydal opravy pro tři zranitelnosti ve svých platformách včetně kritické chyby CVE-2026-103093 v ServiceNow AI Platform, která umožňuje únik ze sandboxu a spuštění kódu na hostitelském systému. Další zranitelnosti zahrnují ukládání hesel v otevřeném textu (CVE-2026-103094) a obcházení oddělení domén v aplikaci SR – CSM – Task Plan Templates Store (CVE-2026-6877).
Bezpečnostní aktualizace řeší tři zranitelnosti v ServiceNow AI Platform, z nichž jedna má kritickou a jedna vysokou závažnost. Podle zdroje by autentizovaný útočník mohl získat přístup k citlivým informacím, obejít izolační mechanismy platformy a spustit libovolný kód na hostitelském systému.
Podle zprávy týmu Sophos Threat Research útočníci při moderním průniku do identit využili průzkum přes Microsoft Graph a enumeraci uživatelů v systému ServiceNow. K efektivnímu útoku nebyly zapotřebí žádné nové techniky.
Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnosti v produktu ServiceNow AI Platform, které se týkají řady verzí rodin Australia, Yokohama a Zurich. Úřad doporučuje uživatelům i správcům prověřit dostupné informace a aplikovat potřebné aktualizace.
ServiceNow vydal opravy pro pět zranitelností v ServiceNow AI Platform s CVSSv4.0 až 9,3, z nichž dvě jsou hodnoceny jako kritické a tři jako vysoce závažné. Neautentizovaní útočníci je mohou zneužít k provádění SQL dotazů, čtení i úpravám databáze, krádeži citlivých dat, eskalaci oprávnění nebo správě instančních záznamů, přičemž zneužití v praxi zatím nebylo zaznamenáno.
Microsoft popsal kampaň s více než milionem podvodných e-mailů, která zneužívala generativní AI k vytváření šablon napodobujících ředitele firem a faktury za služby ServiceNow. Útočníci se pokoušeli přesvědčit finanční oddělení organizací k proplacení plateb ve výši téměř 50 000 dolarů na své účty.
Zpráva přináší přehled nedávných kybernetických útoků na organizace jako Manchester Airports Group, McKesson nebo ATF a upozorňuje na aktivně zneužívané zranitelnosti v PaperCut. Dále informuje o bezpečnostních záplatách od společností Ubiquiti, Vercel a ServiceNow a popisuje nové techniky obcházení ochranných mechanismů v AI asistentech.
Cyber Centre Kanady upozorňuje na zranitelnosti v produktech ServiceNow Xanadu, Yokohama, Zurich, Australia a dalších verzích. Zdroj vyzývá uživatele a administrátory, aby si prostudovali poskytnuté odkazy a aplikovali potřebné aktualizace, až budou dostupné.
Společnost ServiceNow vydala záplaty pro tři zranitelnosti maximální závažnosti na své AI Platformě, které se mohou zneužít k útokům typu code injection, SQL injection a eskalaci oprávnění.
ServiceNow vydal bezpečnostní opravy pro čtyři zranitelnosti, z nichž tři jsou hodnoceny jako kritické a jedna s vysokou závažností, přičemž nejvyšší skóre CVSS dosahuje 10.0. Neautentizovaný útočník by mohl tyto chyby zneužít ke spuštění libovolného kódu, manipulaci s daty a získání zvýšených oprávnění.
Podle veřejně dostupných zpráv byla aktivita spojena s koncovým bodem Scripted REST Resource (/api/now/related_list_edit/create), který byl údajně nakonfigurován s requires_authentication = false, čímž by mohl umožňovat neoprávněný přístup k funkcím v backendu.