Une faille critique de la ServiceNow AI Platform est désormais exploitée dans des attaques réelles, avertissent des chercheurs en sécurité — une escalade sérieuse, compte tenu de l’intégration profonde de ServiceNow dans les grandes entreprises. La faille, CVE-2026-6875, permet à des attaquants non authentifiés de sortir du bac à sable de la plateforme et d’exécuter du code à distance.
La vulnérabilité
Searchlight Cyber, qui a signalé la faille le 1er avril, explique qu’elle permet à des « acteurs malveillants non authentifiés de s’échapper du bac à sable et d’exécuter du code à distance au sein de la plateforme ServiceNow ». Comme elle ne պահանջ pas d’identifiants, son exploitation nécessite seulement un accès réseau à un point de terminaison vulnérable — la catégorie de faille la plus dangereuse pour les logiciels d’entreprise exposés à Internet.
Corrigée, puis exploitée
ServiceNow a publié un correctif le 13 juillet. Quelques jours plus tard, la société de renseignement sur les menaces Defused a confirmé une exploitation active, observée pour la première fois le week-end du 17 au 19 juillet — et a relevé un détail révélateur : les attaquants ont atteint le même point de terminaison vulnérable par « une autre voie que leur PoC publié », ce qui suggère que des adversaires ont adapté les recherches publiques plutôt que de les réutiliser telles quelles. L’intervalle entre la publication du correctif et l’exploitation se compte en jours, pas en semaines.
Pourquoi l’impact potentiel est large
ServiceNow n’est pas un outil de niche. Sa plateforme sous-tend les workflows informatiques, RH et opérationnels d’environ 85 % du Fortune 500 et traite plus de 100 milliards de workflows par an. Une faille d’exécution de code avant authentification dans la couche IA d’un logiciel aussi central donne aux attaquants un point d’appui potentiel dans le tissu connectif de milliers de grandes organisations.
Ce que les défenseurs doivent faire
L’action immédiate est simple : appliquer le correctif de ServiceNow du 13 juillet et rechercher des signes d’exploitation, car des attaquants sondent déjà les points de terminaison d’une manière qui diffère du proof of concept public. Cet épisode rappelle aussi que les fonctionnalités d’IA ajoutées à des plateformes critiques élargissent la surface d’attaque — et que le délai entre divulgation et exploitation continue de se réduire.