ServiceNow corrige une API accessible sans authentification après l’exploitation d’une faille ayant exposé des données de certaines instances clientes.
ServiceNow a informé certains clients d’un incident de sécurité ayant permis à des attaquants d’interroger les données stockées dans leurs instances.
La faille concernait un point d’accès API qui pouvait, dans certaines configurations, être utilisé sans authentification avec des permissions plus importantes que prévu.
Des données clients ont été consultées
ServiceNow confirme avoir détecté une activité anormale et que la vulnérabilité a été exploitée pour interroger des tables présentes dans des instances clientes.
L’éditeur ne précise pas encore quelles données ont été consultées. Une instance ServiceNow peut cependant contenir des tickets d’assistance, des informations sur les employés, des inventaires techniques, des rapports d’incident ou encore des documents internes.
Les clients principalement concernés utilisent la version « Australia » de la plateforme. Certaines anciennes versions ayant reçu des modifications particulières de configuration peuvent également être affectées.
« Australia » désigne ici une version de la plateforme ServiceNow, et non la localisation des clients.
Un correctif déployé le 5 juin
ServiceNow a modifié la configuration du point d’accès concerné afin de réserver son utilisation aux utilisateurs authentifiés. Le correctif a été appliqué aux instances hébergées le 5 juin 2026.
L’entreprise a ouvert directement un dossier d’assistance auprès des organisations identifiées comme affectées. Les clients n’ayant reçu aucune notification ne sont, pour le moment, pas considérés comme concernés.
ServiceNow n’a pas encore publié de détails techniques complets et étudie toujours l’attribution éventuelle d’un numéro CVE.
Les administrateurs concernés devraient examiner leurs journaux d’API et vérifier si des identifiants, des jetons ou d’autres informations sensibles étaient présents dans les enregistrements potentiellement accessibles.
Article de BleepingComputer
Centre de sécurité ServiceNow