ServiceNow : faille API expose les données clients

Une faille API sans authentification exploitée en silence pendant des semaines

ServiceNow, l'une des plateformes ITSM (IT Service Management) les plus déployées au monde dans les grandes entreprises et administrations, a confirmé un incident de sécurité lié à une mauvaise configuration d'un endpoint API. La faille a permis à des acteurs malveillants d'adresser des requêtes non authentifiées directement aux instances clients, contournant les mécanismes d'accès normaux et récupérant des données sensibles sans avoir besoin d'identifiants valides.

Selon les informations publiées par BleepingComputer et les analyses de la société Triskele Labs, le problème trouvait son origine dans l'absence de contrôles d'authentification sur l'endpoint REST /api/now/related_list_edit/create. ServiceNow a reçu une première soumission détaillant cette vulnérabilité via son programme de bug bounty le 22 avril 2026. Malgré cette alerte précoce, la détection d'une activité anomale sur les instances clients n'est intervenue que le 2 juin 2026, soit plus de quarante jours après la découverte initiale.

Durant cette fenêtre, des requêtes non autorisées ont interrogé des données dans les instances de plusieurs clients. L'ampleur exacte de l'exposition n'a pas été communiquée publiquement par ServiceNow, qui s'est contenté d'avertir les clients impactés via des cas de support individuels et un bulletin interne. Le bulletin KB3067321 n'a été publié que le 9 juin 2026, et uniquement derrière un portail de connexion restreint — rendant sa découverte impossible pour les équipes de sécurité n'ayant pas de compte ServiceNow actif.

ServiceNow a appliqué un correctif de sécurité sur ses instances hébergées le 5 juin 2026, soit trois jours après la détection de l'activité malveillante. Cependant, la situation s'est complexifiée lorsqu'une variante secondaire de la vulnérabilité a été identifiée le 10 juin 2026, contraignant l'éditeur à patcher deux endpoints supplémentaires. Les clients hébergeant leurs propres instances ServiceNow (on-premise ou cloud privé) ont dû appliquer manuellement ces correctifs, avec un délai variable selon la réactivité de leurs équipes.

Les données typiquement stockées dans les instances ServiceNow incluent des tickets de support IT, des informations sur les employés (postes, coordonnées, organigrammes), des contrats de maintenance, des procédures internes et de la documentation sur les systèmes d'information de l'entreprise. Ce type d'informations représente une mine d'or pour des attaquants cherchant à préparer des campagnes de spear-phishing ou à cartographier l'architecture IT d'une cible avant une intrusion plus large.

La société de sécurité Deepwatch a publié une analyse technique sous la référence CA-26-021, détaillant les indicateurs de compromission et les requêtes suspectes à surveiller dans les journaux d'accès ServiceNow. D'autres fournisseurs de threat intelligence ont également mis à jour leurs règles de détection pour couvrir ce vecteur d'attaque spécifique.

ServiceNow n'a pas confirmé si des données ont effectivement été exfiltrées lors de l'incident, se limitant à indiquer que des "requêtes anomales" avaient été observées. Cette formulation vague laisse ouverte la question de la nature exacte des accès et de l'utilisation potentielle des données consultées. Pour les clients concernés, l'absence de clarté sur le périmètre exact de la compromission complique l'évaluation des risques résiduels et des obligations de notification aux autorités de protection des données.

Du côté des obligations réglementaires, les clients européens de ServiceNow pourraient être tenus de notifier les autorités compétentes sous 72 heures en vertu du RGPD, si les données personnelles accédées appartiennent à des résidents européens. Le délai entre la découverte du bug bounty (22 avril) et la notification publique (début juin) pourrait également soulever des questions sur la conformité de ServiceNow à ses propres obligations de transparence vis-à-vis de ses clients.

Incidents API : un vecteur en pleine expansion pour les grandes plateformes SaaS

L'incident ServiceNow s'inscrit dans une tendance inquiétante : les grandes plateformes SaaS d'entreprise, massives et profondément intégrées dans les processus métiers, deviennent des cibles prioritaires pour les attaquants. Contrairement aux applications web grand public, ces plateformes concentrent des données critiques (RH, IT, finance, supply chain) et bénéficient d'un niveau de confiance implicite élevé de la part des équipes internes, ce qui rend leur compromission particulièrement impactante.

Les endpoints API non sécurisés représentent une surface d'attaque croissante. Selon le rapport OWASP API Security Top 10 2025, les défauts d'authentification sur les endpoints REST figurent parmi les causes les plus fréquentes d'incidents de sécurité dans les applications modernes. Les grandes plateformes comme ServiceNow, qui exposent des centaines d'endpoints API documentés pour permettre les intégrations tierces, présentent une surface d'attaque difficile à auditer exhaustivement.

La gestion de la divulgation est elle aussi en cause. Poster un bulletin de sécurité critique derrière un portail restreint empêche les équipes de sécurité non-clientes d'en avoir connaissance, mais aussi certains clients qui ne surveillent pas activement ce portail. Les standards de divulgation responsable recommandent une notification proactive des clients impactés et, dans un délai raisonnable, une publication accessible permettant à la communauté de sécurité de mettre à jour ses défenses. La pratique de la "divulgation silencieuse" via des bulletins privés est de plus en plus critiquée par les chercheurs en sécurité.

Pour les entreprises utilisant ServiceNow, cet incident est l'occasion de réaliser un audit de leurs journaux d'accès API sur la période mai-juin 2026, de vérifier que le correctif a bien été appliqué à toutes leurs instances, et d'évaluer si les données potentiellement exposées déclenchent des obligations de notification réglementaire. Un examen des permissions et du périmètre d'accès accordés aux intégrations tierces est également recommandé.

Ce qu'il faut retenir

• Une faille d'authentification sur un endpoint API ServiceNow a permis des requêtes non autorisées dans des instances clients entre début juin et le 5 juin 2026, date du correctif.
• Une variante secondaire a nécessité un second patch le 10 juin 2026 ; les instances on-premise doivent vérifier l'application des deux correctifs (bulletin KB3067321).
• Les clients européens potentiellement impactés doivent évaluer leurs obligations de notification RGPD et auditer leurs journaux d'accès API sur la période concernée.