ServiceNow AIプラットフォームで発見されたCVSSスコア9.5の深刻な脆弱性（CVE-2026-6875）が、サイバー攻撃者によって実際に悪用されている。この「サンドボックス脱出」脆弱性は、認証されていないユーザーがシステム上で任意のコードを実行できるようにする。

脅威インテリジェンス企業Defused Cyberは、この脆弱性が実際の攻撃で悪用されていることを確認したと発表した。攻撃者は、同じ認証前のエンドポイント（"/assessment_thanks.do"）をHTTP POSTリクエストで標的とし、異なる手法でコード実行権限を獲得している。

Searchlight Cyberが2026年4月1日に報告したこの問題は、ServiceNowインスタンスとそのすべてのプロキシサーバーの完全な乗っ取りを可能にする。脆弱性の深刻さは、企業システムにとって大きなリスクをもたらしている。

ServiceNowは6月に複数のバージョン向けにパッチをリリースした。対象バージョンにはBrazil EAおよびGA、Australia Patch 2、Zurich Patch 7bおよび9、Yokohama Patch 12 Hot Fix 1bおよび13が含まれる。同社はまた、サンドボックス環境で実行可能なコードの種類を制限することで、インスタンスのセキュリティを強化している。

現在、この脆弱性が実際に悪用されていることを踏まえ、セルフホスト型のServiceNowインスタンスを利用している顧客は、まだパッチを適用していない場合、直ちに適用することが強く推奨される。