ServiceNowは現地時間2026年10月29日、業務管理プラットフォーム「ServiceNow AI Platform」と関連アプリケーション「Task Plan Templates」で確認された脆弱性3件を公表した。公表時点で悪用は確認されていないとしている。
プラットフォームの脆弱性「CVE-2026-103093」は、スクリプト実行環境「Rhino」のサンドボックスの制限を回避し、ホストOS上で任意のコードを実行できるもの。悪用には管理者権限を持つユーザーとしての認証が必要となる。CVSSv4.0のベーススコアは9.4で、重要度はクリティカルと評価した。
もう1件の「CVE-2026-103094」では、パスワードが平文でシステムテーブルに保存され、閲覧権限のないユーザーに漏れる可能性がある。CVSS基本値は7.1、重要度は高としている。
Task Plan Templatesの「CVE-2026-6877」は、特定のロールを持つ認証済みユーザーがアクセス制御を回避し、権限のないドメインにレコードを作成できる脆弱性。CVSS基本値は5.3、重要度は中とした。
プラットフォームの2件は「Australia」「Zurich」「Yokohama」向けの9月のアップデートなどで修正した。Task Plan Templatesは2.0.0以前の利用者に3.0.0以降への更新を推奨している。特定条件のインスタンス更新時に導入される2.0.1でも修正済みとしている。
MARBLEの対応例：この件の場合
ServiceNowの利用状況と、3件の脆弱性への更新対応をまず確認します。
- ServiceNow AI PlatformとTask Plan Templatesの利用を確かめる
- プラットフォームの2件が更新で修正済みか、導入した会社に確かめる
- Task Plan Templatesのバージョンと更新方法を導入した会社に確かめる
- 管理者権限を持つユーザーとパスワードへのアクセス権限を確かめる
関係するサービス
※金額は一例です。システムの構成や規模、作業の範囲によって変わります。
出典
Security NEXT「「ServiceNow」にクリティカル脆弱性 - 修正版が公開」（2026年10月30日）
この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。
