Die ServiceNow Sicherheitslücke CVE-2026-6875 wird seit dem Wochenende aktiv ausgenutzt. Das meldet der Threat-Intelligence-Anbieter Defused. Betroffen ist die ServiceNow AI Platform, also genau jene Workflow-Plattform, über die viele Unternehmen ihre IT-Prozesse steuern. Wer eine selbst gehostete Instanz betreibt und das Update vom 13. Juli noch nicht eingespielt hat, sollte das jetzt tun.
Was die ServiceNow Sicherheitslücke technisch bedeutet
CVE-2026-6875 ist eine Code-Injection-Schwachstelle. Ein Angreifer kann damit aus der Script-Sandbox von ServiceNow ausbrechen und Code auf der Instanz ausführen. Entscheidend ist das Wörtchen pre-auth: Es braucht keinen gültigen Account, kein Phishing und keinen Fuß in der Tür. Netzwerkzugriff auf eine verwundbare Instanz genügt.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Gefunden hat die Lücke Adam Kues von Searchlight Cyber. Er beschreibt den Angriff als komplex in der Ausführung, aber in der Wirkung als vollständige Kompromittierung der Instanz und angebundener Proxy-Server. Das ist ein wichtiger Unterschied: hohe Komplexität senkt nicht das Risiko, sie verzögert es nur.
Zeitleiste: von der Meldung bis zum Angriff
- Anfang April 2026: Searchlight Cyber meldet die Schwachstelle an ServiceNow.
- Innerhalb von 24 Stunden: ServiceNow rollt Mitigationen auf allen von ServiceNow gehosteten Cloud-Instanzen aus; die eigentlichen Patches folgen in den Wochen danach.
- 13. Juli 2026: Advisory und Patches für On-Premises-Kunden und Partner.
- 14. Juli 2026: Searchlight Cyber veröffentlicht die technische Analyse.
- 17. Juli 2026: Defused beobachtet die ersten Ausnutzungsversuche, übers Wochenende bestätigt sich die aktive Ausnutzung.
Drei Tage zwischen der öffentlichen Analyse am 14. Juli und dem ersten beobachteten Angriff am 17. Juli – das ist das übliche Fenster geworden. Wer seinen Patch-Zyklus in Wochen denkt, verliert dieses Rennen regelmäßig.
Worauf Admins jetzt achten sollten
Die beobachteten Payloads treffen laut Defused denselben Pre-Auth-Endpunkt, den Searchlight Cyber öffentlich dokumentiert hat: /assessment_thanks.do. Allerdings erreichen die Angreifer das Ziel über eine andere Sandbox-Escape-Kette als der veröffentlichte Proof of Concept. Das ist praktisch relevant. Wer seine Erkennung nur auf die bekannte PoC-Signatur getrimmt hat, sieht den echten Angriff möglicherweise nicht.
Konkret heißt das für die Praxis: erstens das Juli-Update einspielen, zweitens die Logs des genannten Endpunkts rückwirkend prüfen, drittens nicht nur nach der PoC-Signatur suchen. Zusätzlich bringt das Update ein neues Feature namens Guarded Script mit, das einschränkt, welcher Code überhaupt in Sandbox-Kontexten laufen darf. Damit sollen künftige Sandbox-Ausbrüche schwerer werden.
Einordnung ohne Panik
ServiceNow bewertet die Lücke mit CVSS 4.0 9.5 (kritisch): unauthentifiziert über das Netz erreichbar, hohe Angriffskomplexität, volle Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Eine eigene NVD-Analyse steht noch aus, der Eintrag steht dort auf „Awaiting Analysis“.
Ein Punkt zur Redlichkeit: Die aktive Ausnutzung wird bislang nur von Defused berichtet. ServiceNow selbst schreibt im Advisory weiterhin, man habe keine Kenntnis von Angriffen auf Instanzen. Zwei Quellen, zwei Aussagen – wer betroffen ist, sollte sich nicht auf die beruhigendere verlassen.
Der Fall reiht sich in ein Muster ein, das dieses Jahr auffällig oft auftritt: zentrale Business-Plattformen als Einstiegspunkt statt klassischer Endgeräte. Ähnlich lag es beim AD-FS-Zero-Day CVE-2026-56155 und zuletzt bei der WordPress-Lücke wp2shell. Wer eine Bestandsliste seiner extern erreichbaren Plattformen hat, patcht deutlich schneller als wer erst suchen muss.
Quellen
- Help Net Security: ServiceNow pre-auth RCE exploited in the wild (CVE-2026-6875), 20.07.2026
- Searchlight Cyber: Smashing the ServiceNow Sandbox – Pre-Authentication RCE
- ServiceNow Support: KB3137947 – CVE-2026-6875 Sandbox Escape
- BleepingComputer: Critical ServiceNow code execution flaw now exploited in attacks
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden