Una vulnerabilidad crítica en ServiceNow permite ejecución remota de código sin autenticación, afectando instancias autohospedadas y ya explotada en ataques reales.
ServiceNow ha confirmado la explotación activa de una vulnerabilidad crítica de ejecución remota de código (RCE) sin autenticación, identificada como CVE-2026-6875, que afecta a sus instancias autohospedadas. La falla fue reportada por investigadores de Searchlight Cyber el 14 de julio y parcheada el mismo día, pero desde el 17 de julio se detectaron ataques en entornos reales.
Por qué importa: Esta vulnerabilidad permite a atacantes comprometer completamente instancias de ServiceNow sin necesidad de credenciales, poniendo en riesgo datos y operaciones críticas de las organizaciones afectadas.
Lo esencial
CVE-2026-6875 es una vulnerabilidad RCE pre-autenticación en la plataforma AI de ServiceNow.
ServiceNow lanzó parches para instancias autohospedadas el 14 de julio de 2026.
Desde el 17 de julio se reportan ataques activos explotando esta falla en la naturaleza.
Detalles técnicos de la vulnerabilidad
La falla reside en un componente de la plataforma AI de ServiceNow que permite la ejecución remota de código sin necesidad de autenticación previa. Esto significa que un atacante puede enviar solicitudes maliciosas y ejecutar comandos arbitrarios en el servidor afectado, comprometiendo la integridad y confidencialidad de la instancia.
Los investigadores de Searchlight Cyber explicaron que tras analizar la arquitectura de ServiceNow y su código, lograron identificar esta vulnerabilidad crítica que permite un control total del sistema afectado.
Impacto en entornos autohospedados
La vulnerabilidad afecta específicamente a las instancias de ServiceNow que se ejecutan en entornos autohospedados, es decir, aquellas gestionadas directamente por las organizaciones y no en la nube pública de ServiceNow. Esto amplía el riesgo para empresas que mantienen sus propios servidores y requieren atención inmediata para aplicar los parches.
El compromiso de estas instancias puede derivar en la exposición de datos sensibles, interrupciones operativas y posibles movimientos laterales dentro de la red corporativa.
Respuesta de ServiceNow y recomendaciones
ServiceNow reaccionó rápidamente liberando actualizaciones de seguridad el mismo día del reporte, el 14 de julio. Sin embargo, la explotación activa comenzó pocos días después, el 17 de julio, lo que subraya la urgencia de aplicar los parches.
Imagen de referencia: Security Affairs.
La empresa recomienda a los administradores de instancias autohospedadas verificar la aplicación de las actualizaciones y monitorear cualquier actividad sospechosa para mitigar riesgos.
Preguntas frecuentes sobre CVE-2026-6875
¿Qué versiones de ServiceNow están afectadas?
La vulnerabilidad impacta a las instancias autohospedadas que utilizan la plataforma AI de ServiceNow, sin especificar versiones exactas, por lo que se recomienda actualizar todas las instalaciones.
¿Es posible explotar esta falla sin credenciales?
Sí, la vulnerabilidad permite ejecución remota de código sin autenticación, lo que facilita ataques remotos sin necesidad de acceso previo.
