CVE-2026-18885 : ServiceNow AI Platform 3 failles CVSS 10.0

Les faits

ServiceNow, l'éditeur de la plateforme d'automatisation et de gestion IT utilisée par plus de 8 500 entreprises dans le monde — dont la majorité du CAC 40 et du Fortune 500 —, a publié fin août 2026 des correctifs pour quatre vulnérabilités critiques affectant sa plateforme IA (anciennement Now Platform). Parmi ces quatre failles, trois atteignent le score CVSS maximal de 10.0, ce qui en fait l'un des bulletins de sécurité les plus graves jamais publiés par ServiceNow depuis la création de l'entreprise.

CVE-2026-18885 est la vulnérabilité la plus critique de ce lot. Elle affecte l'API GraphQL Composite Data de ServiceNow et est classée comme une faille d'injection de code (CWE-94). Le vecteur CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H reflète le fait qu'un attaquant non authentifié peut, depuis le réseau, exécuter du code arbitraire sur l'instance ServiceNow et accéder à ou modifier l'ensemble des données de l'instance sans aucune interaction de la part d'un utilisateur légitime. L'API GraphQL Composite Data est un composant récent de la plateforme IA de ServiceNow, introduit pour permettre des requêtes de données agrégées et multi-sources. La faille réside dans l'insuffisance de la validation et de la neutralisation des entrées utilisateur dans le moteur de traitement des requêtes GraphQL, permettant à un attaquant de sortir du contexte de requête légitime pour injecter des instructions de code exécutées par le serveur d'application.

CVE-2026-18886, également notée CVSS 10.0, est une faille de contrôle d'accès défaillant (CWE-284, Improper Access Control). Elle permet à un attaquant de créer ou de modifier des données arbitraires dans l'instance ServiceNow et d'élever ses privilèges dans la plateforme. Dans un contexte opérationnel, ServiceNow centralise des données critiques de l'entreprise : tickets d'incidents de sécurité, configurations CMDB (Configuration Management Database), workflows de gestion des identités et des accès, données RH, informations financières et processus d'approbation. La capacité à modifier arbitrairement ces données sans authentification représente un risque considérable pour l'intégrité des processus métiers et la confidentialité des informations.

CVE-2026-74820 est une injection SQL (CWE-89, SQL Injection) atteignant également le score CVSS 10.0. La faille se situe dans une clause dynamique ORDER BY d'un schéma de requête. Un attaquant non authentifié peut injecter des instructions SQL arbitraires et les faire exécuter par le système de gestion de base de données sous-jacent à l'instance ServiceNow. L'injection SQL dans un contexte CVSS 10.0 sans authentification et sans interaction utilisateur représente un vecteur d'attaque extrêmement grave, car elle donne potentiellement accès à l'intégralité des données stockées dans la base ServiceNow, incluant les mots de passe hashés, les tokens d'API, les configurations d'intégration avec des systèmes tiers (Active Directory, ITSM, ERP) et les données personnelles des utilisateurs.

En complément de ces trois failles CVSS 10.0, ServiceNow a également corrigé CVE-2026-6876, une faille de haute sévérité (CVSS 8.7) permettant une évasion de sandbox dans la Now Platform. Cette quatrième vulnérabilité permet à un attaquant non authentifié d'exécuter du code en dehors du contexte de sandbox sécurisé de la plateforme, offrant potentiellement un accès à des ressources système que le sandbox est censé protéger.

ServiceNow a indiqué ne pas avoir connaissance d'exploitation malveillante active de ces vulnérabilités au moment de la publication des correctifs. La nature des failles — trois CVSS 10.0 simultanées dans des composants centraux de la plateforme — a conduit l'éditeur à déployer les correctifs en priorité sur l'ensemble de ses instances cloud hébergées. Les organisations utilisant ServiceNow en mode cloud (SaaS) ont reçu les correctifs automatiquement et de manière transparente, sans action de leur part. Seules les installations on-premises et les instances dans des environnements de cloud privé nécessitent une action manuelle des équipes IT.

La chronologie précise de la découverte et du signalement de ces vulnérabilités n'a pas été entièrement divulguée par ServiceNow, probablement pour éviter de fournir aux attaquants des informations permettant de réingéniérer les exploits avant que les corrections n'aient été largement déployées. L'éditeur a confirmé avoir travaillé avec des chercheurs en sécurité dans le cadre de son programme de divulgation responsable. Aucun code PoC public n'était disponible au 1er septembre 2026, mais la sophistication des failles et la valeur des données accessibles via ServiceNow en font des cibles de premier choix pour les groupes de cybercriminalité organisée et les acteurs étatiques.

Le contexte de déploiement de ServiceNow est déterminant pour évaluer la gravité réelle du risque. ServiceNow est au cœur des opérations IT, de sécurité et métier des plus grandes organisations mondiales. En France, la plateforme est utilisée par de nombreux grands groupes industriels, bancaires et des administrations publiques pour leurs processus ITSM et GRC. Un accès non autorisé à une instance ServiceNow d'une grande organisation pourrait permettre à un attaquant d'exfiltrer des secrets d'entreprise, de manipuler des processus d'approbation sensibles (demandes d'accès, changements de configuration), ou de récupérer des credentials pour les systèmes intégrés via les connecteurs ServiceNow.

Impact et exposition

Les organisations utilisant ServiceNow en mode SaaS cloud standard sont protégées automatiquement et sans action requise. Le risque résiduel concerne principalement les instances on-premises ou les déploiements dans des environnements de cloud privé qui n'ont pas encore appliqué les correctifs, ainsi que les environnements de test et de développement souvent négligés dans les cycles de patch management.

CVE-2026-18885 (injection de code via GraphQL) est particulièrement préoccupante car l'API GraphQL Composite Data est une fonctionnalité relativement récente utilisée dans les intégrations IA et les tableaux de bord analytiques. Les organisations ayant activé des workflows d'IA avancés ou des intégrations de données multi-sources sont particulièrement exposées. Un attaquant exploitant CVE-2026-18885 peut exécuter du code avec les privilèges de l'application ServiceNow, potentiellement avec des droits d'accès aux systèmes sous-jacents selon la configuration de l'instance.

CVE-2026-74820 (injection SQL) représente une menace directe pour la confidentialité des données stockées dans ServiceNow, ce qui peut entraîner des violations du RGPD pour les organisations européennes. En cas d'exploitation réussie, les données personnelles des employés, les informations financières et les secrets commerciaux peuvent être exfiltrés, exposant l'organisation à des sanctions réglementaires en plus des dommages opérationnels.

Les environnements les plus à risque sont les instances ServiceNow accessibles depuis Internet sans contrôle d'accès réseau supplémentaire, notamment via des portails de self-service ou des intégrations avec des applications publiques.

Recommandations immédiates

• Vérifier immédiatement si votre instance ServiceNow est en mode cloud SaaS (auquel cas les patches sont déjà appliqués) ou en mode on-premises — contactez votre représentant ServiceNow si vous avez un doute
• Pour les instances on-premises : appliquer les mises à jour de sécurité publiées fin août 2026 — ServiceNow Security Advisory SA-2026-08-28
• Auditer les logs d'accès à l'API GraphQL Composite Data pour détecter des requêtes anormales antérieures à l'application du patch
• Restreindre l'accès aux instances on-premises via des règles de pare-feu ou un reverse proxy avec authentification préalable
• Patcher également les instances de développement, de test et d'UAT, souvent oubliées mais pouvant contenir des données sensibles ou servir de point d'entrée vers la production
• Activer le monitoring des anomalies dans ServiceNow Event Management pour détecter des activités suspectes post-patch