ServiceNow, Yapay Zeka Platformundaki Üç Kritik Kod Enjeksiyon Açığını Yamaladı
Kurumsal yazılım devi ServiceNow, yapay zeka platformunu etkileyen ve en yüksek risk seviyesi olan 10/10 CVSS puanına sahip üç kritik kod enjeksiyon açığını kapattığını duyurdu. CVE-2026-18885, CVE-2026-18886 ve CVE-2026-74820 olarak takip edilen bu zafiyetler, saldırganların herhangi bir kimlik doğrulaması veya kullanıcı etkileşimi olmadan platform üzerinde keyfi kod çalıştırmasına, veri değiştirmesine ve yetki yükseltmesine olanak tanıyor.
Özellikle CVE-2026-74820 kodlu SQL enjeksiyon açığı, saldırganların ServiceNow veritabanına doğrudan SQL komutları göndermesine ve sistemdeki hassas verilere yetkisiz erişim sağlamasına yol açabiliyor. Ayrıca CVE-2026-6876 koduyla tanımlanan ve 8.7 puanlı yüksek riskli bir sandbox kaçış zafiyeti de platform üzerinde kod yürütme riski taşıyor. Şirket, bu dört açığın tamamı için barındırılan örneklerde gerekli yamaların uygulandığını belirtti.
Kendi altyapısında (self-hosted) ServiceNow kullanan kurumlar için ise Xanadu, Yokohama, Zurich ve Australia sürümlerini kapsayan özel düzeltme paketleri yayınlandı. Güvenlik uzmanları, saldırganların bu tür yeni açıklanan zafiyetleri hızla istismar edebileceği konusunda uyarıyor.
