Wer ServiceNow einsetzt, sollte diesen Beitrag nicht bis heute Abend liegen lassen. Eine kritische Sicherheitslücke im ServiceNow AI Platform wird aktiv ausgenutzt — und sie ist besonders gefährlich, weil Angreifer dafür kein einziges Passwort brauchen.
DAS IST DAS PROBLEM: Aus der Sandbox direkt aufs System
Die Lücke trägt die Kennung CVE-2026-6875. Dahinter steckt eine Code-Injection: Angreifer brechen aus der Skript-Sandbox von ServiceNow aus und führen eigenen Code auf der Ziel-Instanz aus. Jeder, der Netzwerkzugang zu einer verwundbaren Instanz hat, kann die Lücke auslösen — ohne Zugangsdaten, ohne Phishing, ohne Vorlauf.
Der Einstieg läuft über einen Endpunkt, der bereits vor der Anmeldung erreichbar ist. Entdeckt wurde die Schwachstelle von Forschern bei Searchlight Cyber, gemeldet Anfang April 2026, öffentlich gemacht und gepatcht am 13. Juli. Nur wenige Tage später bestätigten Sicherheitsdienste die ersten aktiven Angriffe.
GEFAHR: Die Schutzmauern reichen nicht
Besonders unangenehm: Angreifer nutzen verschiedene Angriffsketten, um ans selbe Ziel zu kommen. Ein Threat-Intelligence-Anbieter bestätigte eine zweite Ausbruchs-Methode, die genau an den Abwehrmaßnahmen vorbeigeht, die man auf den zuerst veröffentlichten Proof-of-Concept ausgerichtet hatte. Wer sich also nur gegen die erste Variante gewappnet hat, ist womöglich trotzdem verwundbar.
WAS AUF DEM SPIEL STEHT
Ein erfolgreicher Angriff kann zur kompletten Übernahme einer ServiceNow-Instanz führen: Zugriff auf Daten in Tabellen, Anlegen von Administrator-Konten und sogar Befehle auf angebundenen MID-Server-Proxys. Für Unternehmen, die ihr komplettes IT-Service-Management über ServiceNow abwickeln, wäre das ein Super-GAU.
SO REAGIERST DU RICHTIG — in wenigen Minuten
- Patch einspielen. ServiceNow hat am 13. Juli Updates bereitgestellt. Sie einzuspielen ist der einzige zuverlässige Schutz.
- Version prüfen. Kläre, welche Instanz-Version du fährst und ob sie im verwundbaren Bereich liegt.
- Zugriffe kontrollieren. Beschränke den Netzwerkzugang zur Instanz, wo möglich, und prüfe Logs auf verdächtige Aufrufe des Vor-Login-Endpunkts.
FAZIT: Schnelligkeit schlägt alles
Diese Lücke ist ein Lehrstück dafür, wie kurz das Fenster zwischen Veröffentlichung und Angriff geworden ist: keine zwei Wochen vom Patch bis zur aktiven Ausnutzung. Wer ServiceNow betreibt, sollte das Update heute priorisieren — nicht nächste Woche.