タグ: CVE

2026-08-30T08:06:03+09:00

要点

• ServiceNow AI PlatformにCVSS 4.0で10.0の脆弱性3件
• 認証なしでコード実行、権限昇格、SQL実行につながる可能性
• 公式アドバイザリで影響と更新状況を確認し、未修正なら更新する

発表・発売情報

発表日	2026-08-27T20:17:03.870000+00:00
発売・公開予定	NVDの原記録は2026年8月27日（UTC）公開。2026年8月30日8時06分（JST）確認。
対応プラットフォーム	ServiceNow AI Platform

ServiceNow AI Platformに重大な脆弱性3件

ServiceNow AI Platformに、CVSS 4.0基本値10.0と評価された脆弱性3件が公開されました。対象はCVE-2026-18885、CVE-2026-18886、CVE-2026-74820です。

いずれも特定条件下で認証なしの利用者による攻撃が成立する可能性があります。ServiceNowを運用する組織は、インスタンスの公開範囲だけで安全と判断せず、修正の適用状態を確認してください。

コード実行、権限昇格、SQL実行の3種類

CVE-2026-18885はコードインジェクションで、任意コードの実行とインスタンスデータへの不正なアクセス・変更につながる可能性があります。CVE-2026-18886は不適切なアクセス制御によりデータを作成・変更され、権限昇格へ至る可能性があります。

CVE-2026-74820はSQLインジェクションで、基盤データベースに任意のSQL文を実行され、インスタンスデータへアクセスまたは変更される可能性があります。3件を別々のニュースとして扱わず、同じ更新確認の対象としてまとめて点検するのが実務的です。

• CVE-2026-18885：コードインジェクション
• CVE-2026-18886：不適切なアクセス制御と権限昇格
• CVE-2026-74820：SQLインジェクション

ホスト型もセルフホストも適用状態を確認

ServiceNowはホスト型インスタンスへセキュリティ更新を展開し、パートナーとセルフホスト利用者にも更新を提供したとしています。セルフホスト環境では、提供された更新が実際に適用済みかを確認してください。

影響範囲と修正版は、ServiceNowの2026年8月CVE Advisory Notification（KB3152242）で利用中のリリースに合わせて確認します。この記事では個別環境の適用状態を検証していません。

• 利用中リリースとパッチレベルを記録する
• KB3152242で影響範囲と修正版を照合する
• 未修正なら適切な更新または修正済みリリースへ移行する
• 更新後に外部公開経路と監査ログを確認する

公開時点で悪用確認なし、ただし放置しない

各公式記録は、公開時点でこれら3件の悪用を確認していないとしています。ただし、これは攻撃が不可能という意味ではありません。

CVSS 10.0は技術的な深刻度を示します。悪用有無と深刻度を混同せず、未修正環境の更新、公開経路の確認、管理者権限やデータ変更の監査を進めてください。

主な仕様

CVE-2026-18885	コードインジェクション／CVSS 4.0: 10.0 Critical	出典
CVE-2026-18886	不適切なアクセス制御・権限昇格／CVSS 4.0: 10.0 Critical	出典
CVE-2026-74820	SQLインジェクション／CVSS 4.0: 10.0 Critical	出典

影響範囲と対応

種別	vulnerability
重要度	critical
影響対象	ServiceNow AI Platformの影響対象リリース（詳細はKB3152242を確認）
推奨対応	ServiceNowのKB3152242で利用中リリースの影響と修正版を確認し、未適用なら速やかに適切な更新または修正済みリリースへのアップグレードを行う。

確認できたこと

• ServiceNow AI PlatformのCVE-2026-18885はコードインジェクション脆弱性で、特定条件下では認証なしの利用者が任意コードを実行し、意図された範囲を超えてインスタンスデータへアクセスまたは変更できる可能性がある。 出典
• CVE-2026-18886は不適切なアクセス制御の脆弱性で、特定条件下では認証なしの利用者がインスタンスデータを作成または変更し、権限昇格につながる可能性がある。 出典
• CVE-2026-74820はSQLインジェクション脆弱性で、特定条件下では認証なしの利用者が基盤データベースに対して任意のSQL文を実行し、インスタンスデータへアクセスまたは変更できる可能性がある。 出典
• NVDの各記録は3件をCVSS 4.0基本値10.0として掲載している。 出典
• ServiceNowはホスト型インスタンスへセキュリティ更新を展開し、パートナーとセルフホスト利用者へ更新を提供したとしている。各NVD記録では、公開時点でこれら3件の悪用は確認されていない。 出典
• ServiceNowは2026年8月のCVE Advisory Notification（KB3152242）を公開し、影響範囲と更新情報を案内している。 出典

所感

ServiceNow管理者は、ホスト方式にかかわらず自組織のインスタンスが修正済みかを管理画面と公式アドバイザリで確認すべきです。
3件はいずれも認証なしの攻撃者がインスタンスデータや実行環境へ影響を及ぼし得るため、公開範囲だけでなく実際のパッチ適用状態を確認する必要があるからです。

CVSS 10.0を、そのまま悪用確認済みという意味で受け取るべきではありません。
CVSSは技術的な深刻度の評価であり、各公式記録は公開時点で悪用を確認していないと明記しているためです。

関連リンク

• https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB3152242
• https://nvd.nist.gov/vuln/detail/CVE-2026-18885
• https://nvd.nist.gov/vuln/detail/CVE-2026-18886
• https://nvd.nist.gov/vuln/detail/CVE-2026-74820
• August 2026 CVE Advisory Notification
• CVE-2026-18885 Detail
• CVE-2026-18886 Detail
• CVE-2026-74820 Detail