ServiceNowの脆弱性 CVE-2026-6875、パッチ翌日のPoC公開から4日でサイバー攻撃へ悪用|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月24日更新日時: 2026年07月24日

当サイトでは、ServiceNow AI Platformにおける未認証リモートコード実行の脆弱性CVE-2026-6875(CVSS 9.5)を既報でお伝えしました。ServiceNowによる7月13日のパッチ公開後、翌14日にSearchlight Cyberが詳細な技術解説とPoCを公開、その4日後の18日に脅威インテリジェンス企業Defusedがハニーポットでの実際の悪用を観測したと報告しました。ただしDefusedは7月21日、改めての分析によりキャプチャされたペイロードがSearchlight CyberのPoC由来のものと実質的に同一であったとする訂正を発表しています。ServiceNowはSecurityWeekの取材に対し、自社がホストしているインスタンスで今回の活動がCVE-2026-6875と関連していた証拠は確認していないと説明しましたが、未適用のセルフホスト型顧客に対してはパッチ適用を改めて強く求めています。この一連の経緯は、PoC公開がどれだけ速く悪用の試みを引き寄せるかを示す典型例であると同時に、ハニーポットが捕捉した通信の帰属判断の難しさも示しています。

サマリー

Searchlight Cyber(Adam Kues氏)は2026年7月14日、CVE-2026-6875の技術的詳細とエクスプロイト手法を公開しました。ServiceNowへの報告は2026年4月1日で、クラウドインスタンスへの緊急緩和は報告から24時間以内に適用されていたとされています
今回の脆弱性のエクスプロイトは、GlideRecordクエリAPIのjavascript:プレフィックスによるJS実行機能を起点に、script includeの評価プロセスを悪用してサンドボックス制限を段階的に回避する、高度な技術的手口です
Defused社は7月18日、ServiceNowのサインインエンドポイントに対する不審なリクエストを観測しCVE-2026-6875の悪用と報告しましたが、7月21日に訂正声明を発表し、キャプチャされたペイロードをより詳しく分析した結果、Searchlight Cyber自身が公開したPoCのペイロードと同一のものだったと認めました
ServiceNowはSecurityWeekの取材に対し、自社がホストしているインスタンスではCVE-2026-6875と関連した活動の証拠は確認していないと説明し、セルフホスト型顧客へのパッチ適用を強く推奨しました
本稿執筆時点でCISAのKEVカタログにはCVE-2026-6875は登録されておらず、ServiceNowの脆弱性がKEVに収録されているのは2024年にパッチが適用された2件のみです
ServiceNowは今後の同種の攻撃を困難にする「Guarded Script」機能を導入しており、サンドボックス内で実行できるJavaScriptの構文を大幅に制限しています

整理表

項目	内容
CVE番号	CVE-2026-6875(CVSS 9.5、Critical)
ServiceNowへの報告日	2026年4月1日(Searchlight Cyber、Adam Kues氏)
クラウドインスタンスへの緊急緩和適用	報告から24時間以内
パッチ公開日	2026年7月13日(KB3137947)
Searchlight CyberのPoC・技術解説公開日	2026年7月14日(パッチ公開の翌日)
Defusedによる悪用観測の報告日	2026年7月18日
Defusedによる自己訂正日	2026年7月21日(Searchlight CyberのPoCと同一ペイロードと訂正)
ServiceNowの公式コメント	自社ホスト型インスタンスでは関連した活動の証拠なし
CISA KEVへの登録	未登録(本稿執筆時点)
Searchlight Cyberが導入を確認した対策	Guarded Script(サンドボックス内のJS構文を大幅制限)
セルフホスト型顧客向け対応	手動でのパッチ適用が引き続き必要

Searchlight CyberによるPoCの技術的概要

Searchlight CyberのAdam Kues氏は7月14日のブログ記事で、CVE-2026-6875の脆弱性を具体的に示しました。同氏は今回の発見について、前回(2024年)にServiceNowの未認証RCEを発見して以来、アーキテクチャを深く理解したうえで別のコードベースの領域を集中的に調査したことで見つかったものだと述べています。

エクスプロイトの起点となるのは、ServiceNowのGlideRecordクエリAPIです。このAPIはaddQuery呼び出しのパラメータにjavascript:プレフィックスを付けることでJS式を評価する機能を持っており、これが未認証のコンテキストからも呼び出し可能な箇所に多数存在していました。ただしこのJSは「Guarded Script」相当の追加サンドボックスで実行されるため、そのままでは機密データへのアクセスや意味のある操作は行えません。

サンドボックスからの脱出には、script includeの評価メカニズムを巧みに悪用する手口が用いられています。script includeはサンドボックス外のコンテキストで評価されるため、グローバル関数を上書きする形で制御を奪えます。具体的には、Object.definePropertyを用いてObject.cloneをFunctionコンストラクタに差し替え、AbstractAjaxProcessor.prototypeに任意のペイロードを設定したうえでgs.include('ItemViewElementsProvider')を呼び出すことで、サンドボックスを完全に回避した任意コード実行が実現します。

エクスプロイトが成立した場合の影響として、任意のテーブルからのデータ読み出し、管理者ユーザーの作成、さらにServiceNowインスタンスに接続されているプロキシサーバー(企業の内部ネットワーク上に配置されることが多い)に対するシェルコマンドの実行が可能になります。Searchlight Cyberは過去の記事で公開した前回の手口との接続も示しており、今回が2回目のServiceNow未認証RCEの発見である点も強調しています。

なお同氏は今回のブログ記事を書いたGPT-5.6 Sol Ultraを使ったWordPressのwp2shell脆弱性発見と同一人物で、当サイトではGPT-5.6 Sol UltraによるWordPress未認証RCE発見の記事でも紹介しています。

Defusedの観測報告と自己訂正-「Searchlightのペイロードと同一」

Defusedは7月18日、ハニーポットに対してServiceNowのサインインエンドポイントへの不審なリクエストが届いており、認証情報を一切含まないこれらのリクエストがCVE-2026-6875の悪用試みだと評価しました。当初Defusedは、エクスプロイトがSearchlight CyberのPoCと同じ結果を達成しているが、手法は若干異なると説明していました。

ところが7月21日、Defusedは訂正声明を発表しました。より詳細な分析により、キャプチャされたペイロードはSearchlight Cyber自身が公開したものと実質的に同一だったと認めたのです。SecurityWeekの報道によれば、CVE-2026-6875の悪用を説明する他の報告は現時点で見当たらず、今回の活動がセキュリティ業界の研究者や自社システムの調査者によるものである可能性があるとも指摘されています。

これはServiceNowが過去にも経験した状況と共通しています。ServiceNowは2025年6月にも顧客インスタンスが侵害されたと開示しましたが、後日その悪用はセキュリティ研究者によるものと判明したと訂正した経緯があります。PoC公開後にハニーポットへのアクセスが急増したとしても、それが実際の脅威アクターによるものか、脆弱性の影響を調査するセキュリティ研究者によるものかを判別するのは容易でなく、今回のDefusedの訂正はその典型例といえます。

ServiceNowの公式コメントと対応状況

ServiceNowはSecurityWeekの取材に対し、あるサイバーセキュリティ企業が以前から開示している脆弱性CVE-2026-6875に関連した悪用活動として最近公開されたことを認識していると述べたうえで、調査の結果、この活動がServiceNowのホストしているインスタンスと関連していた証拠は現時点では確認していないとコメントしています。ServiceNowはセルフホスト型・ホスト型を問わずすべての顧客に対し、まだパッチを適用していない場合は関連するパッチを適用するよう呼びかけるとともに、パッチ適用に支援が必要な顧客とは直接協力すると説明しました。

また今回の問題に対する構造的な対策として、ServiceNowはGuarded Scriptと呼ぶサンドボックス機能の強化を実施しています。Guarded Scriptはサンドボックス内で評価できるJavaScriptの構文を単純な式ひとつに制限するもので、変数宣言、制御フロー、関数宣言、代入演算子、複文がすべて禁止されます。Searchlight Cyberは、この制限によって今後の同種のサンドボックスエスケープが著しく困難になると評価しています。

情報システム部門への示唆-セルフホスト型顧客は速やかなパッチ適用を

ServiceNowのホスト型(クラウド)インスタンスはすでに緊急緩和措置とパッチが自動適用されています。一方でオンプレミスやプライベートクラウドでServiceNowをセルフホスト型で運用している組織は、今回の一連の展開を踏まえて速やかな手動パッチ適用が求められます。

Defusedの観測が結果的にSearchlight CyberのPoC由来だったとしても、このことはセルフホスト型インスタンスのリスクを軽減しません。PoCが公開されている以上、本物の脅威アクターによる武器化は技術的に難しくなく、時間の問題です。ServiceNowの脆弱性がCISAのKEVカタログに収録されている例は2024年に対応された2件のみに限られており、ServiceNow脆弱性が実際の攻撃者に広く悪用される頻度は他のエンタープライズ製品より低いとされてきました。しかし今回のCVSS 9.5という深刻なスコアと未認証での悪用可能性は、この傾向に過度に安心してはいけないことを示しています。

既報のとおり修正済みリリースはBrazil EA/GA、Australia Patch 2、Zurich Patch 7b/9、Yokohama Patch 12 Hot Fix 1b/13です。パッチ適用状況の確認と、Now AssistやAI Platform機能を有効化しているインスタンスにおけるアクセスログの点検を推奨します。