Уязвимост в ServiceNow поставя фокус върху контрола на достъпа в SaaS средите

Обзор

ServiceNow потвърди security incident, свързан с уязвимост, която при определени условия е позволявала на неавтентикирани лица да получат по-широк достъп до customer instances от предвиденото. Компанията е приложила security update на 5 юни 2026 г. за hosted customer instances и е започнала да уведомява клиенти, при които е открита подозрителна или успешна неоторизирана активност.

Темата е важна, защото ServiceNow често се използва като централна платформа за управление на ИТ услуги, заявки, инциденти, процеси, активи и вътрешни работни потоци. Това означава, че дори ограничен достъп до таблици в ServiceNow може да разкрие чувствителна оперативна информация.

Какво се случва

Публичните източници описват проблема като слабост, която е позволявала неавтентикиран достъп до уязвима крайна точка и изпълнение на заявки към данни в customer instances. Пълните технически детайли не са публично достъпни, тъй като основният ServiceNow bulletin е ограничен за клиенти през support портала.

Според наличната информация, ServiceNow е приложила корекция директно към hosted customer instances. Това означава, че за hosted среди не се изисква отделно действие за внедряване на самата корекция, но организациите трябва да проверят логове, достъп и евентуални следи от предишна злоупотреба.

Защо това има значение

ServiceNow не е обикновено приложение. В много организации платформата съдържа структурирана информация за:

• потребители и роли
• заявки и инциденти
• вътрешни процеси
• конфигурационни елементи
• активи и системи
• работни потоци
• интеграции с други корпоративни системи

Неоторизиран достъп до подобни данни може да помогне на атакуващи да разберат вътрешната структура на организацията, да изберат по-точни цели, да подготвят фишинг атаки или да търсят следващи пътища за достъп.

Потенциален ефект

Потенциалният ефект зависи от това как е конфигурирана конкретната ServiceNow среда и какви данни се съхраняват в нея.

Възможните рискове включват:

• достъп до записи в таблици, които не трябва да са публични
• разкриване на вътрешни процеси и заявки
• събиране на информация за потребители, роли и екипи
• разкриване на технически данни за системи и активи
• подготовка на последващи атаки чрез по-добро разузнаване
• риск за съответствие, ако в таблиците има лични или регулирани данни

Към момента публичните източници не дават пълен технически обхват на засегнатите таблици и среди. Това е причина организациите да направят собствен преглед на достъпа и логовете си.

Препоръчителни действия

Организациите, които използват ServiceNow, трябва да третират случая като възможен риск за данни и достъп, дори ако корекцията вече е приложена от доставчика.

Приоритетни действия:

• проверка за уведомления или support case от ServiceNow
• преглед на системните логове за необичайни заявки към таблици
• проверка за достъп от непознати IP адреси, потребители или модели на поведение
• преглед на правата за достъп и правилата за контрол на таблици
• проверка на публично достъпни API крайни точки
• оценка кои таблици съдържат чувствителна информация
• потвърждение дали има данни, които изискват допълнително уведомяване или вътрешно разследване

DIAMATIX перспектива

Този случай показва защо SaaS платформите трябва да се разглеждат като критична част от корпоративната среда, а не просто като външна услуга.

Рискът не е само в самата уязвимост. Рискът е в това, че ServiceNow често е свързана с вътрешни процеси, заявки, активи, потребители и системи. При достъп до подобна платформа атакуващият може да получи контекст, който да направи следващите му действия по-точни и по-трудни за откриване.

Защитата изисква повече от доверие към доставчика. Необходима е собствена видимост върху достъпа, логовете, правата и поведението в платформата.

CISO анализ

От гледна точка на CISO това е риск за SaaS управлението, контрола на достъпа и данните.

Ключовите въпроси са:

• Какви чувствителни данни се съхраняват в ServiceNow?
• Кои таблици са достъпни през API?
• Има ли прекалено широки права за четене?
• Преглеждат ли се редовно правилата за достъп?
• Има ли наблюдение върху необичайни заявки към таблици?
• Получено ли е уведомление от ServiceNow за конкретната среда?
• Може ли SOC екипът да засече необичаен достъп в SaaS платформата?

Този тип инциденти показват, че SaaS сигурността вече не е само въпрос на настройки. Тя е част от управлението на риска, данните и оперативната устойчивост.

Какво означава това за вашата среда

• Този тип риск разчита на слабости в достъпа до SaaS платформи, където една заявка може да разкрие чувствителна оперативна информация.
• Откриването зависи от видимост върху заявки към таблици, API достъп, роли, права и необичайно поведение.
• Реакцията изисква проверка на логове, преглед на правата, оценка на засегнатите данни и координация с доставчика.

Знаете ли кои чувствителни таблици във вашата SaaS среда са достъпни през API?

Можете ли да откриете неоторизирана заявка към критична таблица преди тя да се превърне в инцидент?

Виж как подобни SaaS рискове се анализират и управляват в реална оперативна среда.

Contact DIAMATIX
Trusted · Innovative · Vigilant

Източници

• ServiceNow customer advisory / KB3067321, цитиран в публични публикации.
• The Hacker News. ServiceNow flaw exploited to gain unauthorized access to customer instances.
• BleepingComputer. ServiceNow discloses security incident exposing customer data.
• Triskele Labs. ServiceNow security incident analysis.

Статията е базирана на публично достъпна информация и анализи към юни 2026 г.