ServiceNow : trois failles CVSS 10.0, dont une injection GraphQL — les instances self-hosted doivent patcher seules

> En bref : L'advisory ServiceNow du 27 août 2026 corrige quatre failles dont trois notées 10.0 sur l'échelle CVSS — la note maximale. CVE-2026-18885 est une injection de code dans l'API GraphQL Composite Data qui permet à un utilisateur non authentifié d'exécuter du code arbitraire et d'accéder aux données de l'instance. CVE-2026-18886 est un défaut de contrôle d'accès dans le processeur d'upload d'images de configuration (escalade de privilèges sans authentification). CVE-2026-74820 est une injection SQL atteinte via un ORDER BY de schéma dynamique. S'y ajoute une sandbox escape (CVE-2026-6876, CVSS 8.7). Les instances hébergées par ServiceNow ont reçu le correctif automatiquement ; les instances self-hosted et celles gérées par des partenaires doivent appliquer les mises à jour elles-mêmes.

Les quatre failles en détail

Les versions affectées couvrent les quatre familles de releases récentes : Xanadu (avant Patch 11 Hot Fix 7a), Yokohama (avant Patch 12 Hot Fix 3b et avant Patch 13 Hot Fix 4), Zurich et Australia avec leurs propres listes de hotfixes. Si vous gérez une instance self-hosted, la lecture de l'advisory côté éditeur est le seul moyen de savoir précisément où vous situer.

Le contexte : une plateforme déjà sous tension

Cet advisory fait suite à CVE-2026-6875, une sandbox escape pré-authentification publiée le 13 juillet après signalement de Searchlight Cyber. Quelques jours après, le cabinet Defused avait annoncé observer une exploitation en conditions réelles — avant de corriger : le payload capturé correspondait en fait au PoC publié par Searchlight, pas à une exploitation sauvage. ServiceNow a confirmé n'avoir « aucune preuve que cette activité concerne des instances que ServiceNow héberge ».

Détail important pour prioriser : ServiceNow est sa propre autorité de numérotation (CNA), et depuis avril 2026 le NIST n'enrichit plus que les vulnérabilités présentes dans le catalogue KEV du CISA, celles touchant le logiciel fédéral ou celles désignées critiques. Au 28 août, aucune des quatre failles n'était dans le KEV — les notes 10.0 sont donc celles de l'éditeur, sans contre-évaluation indépendante pour l'instant. Cela ne change rien à la sévérité technique ; cela change la façon dont vos outils de priorisation vont (mal) classer ces CVE.

Pourquoi ça vous concerne

ServiceNow n'est pas qu'un outil ITSM : c'est aussi une plateforme de service RH (onboarding, demandes de congés, workflows employés) et de gestion de catalogues internes dans beaucoup de grandes organisations françaises. Une instance compromise concentre à la fois des données employés, des workflows d'approbation et des intégrations (connecteurs AD, SSO, webhooks vers d'autres SaaS). L'injection GraphQL non authentifiée est précisément le type de faille qu'un audit de surface API cherche : un endpoint moderne, exposé, dont la couche de résolution exécute plus de logique que son modèle d'autorisation n'en autorise.

Ce qu'il faut faire

La leçon plus large

Trois failles à 10.0 dans une même release, toutes les trois exploitables sans authentification, sur des composants aussi différents qu'une API GraphQL, un upload de configuration et une clause SQL : c'est le signe d'une revue de sécurité d'ensemble, pas de corrections isolées. Pour les équipes qui s'appuient sur des plateformes SaaS d'infrastructure (ITSM, HR service delivery, ESM), la question de fond reste la même : qui audite l'instance, sa configuration et ses endpoints exposés — pas seulement le logiciel de l'éditeur, mais ce que vous en avez fait.