ServiceNowの重大なRCE脆弱性、攻撃での悪用が確認される（CVE-2026-6875）

ServiceNowの重大なRCE脆弱性、攻撃での悪用が確認される（CVE-2026-6875）

BleepingComputer – July 20, 2026

脅威インテリジェンス企業Defusedによると、ServiceNow AI Platformの重大な脆弱性（CVE-2026-6875）が攻撃で悪用され始めているようだ。Defusedは18日にツイートし、「ServiceNowの未認証サンドボックス脱出を伴うRCE（リモートコード実行）の脆弱性が悪用されている状況を確認した」と警告した。

CVE-2026-6875を発見し、4月1日に報告したサイバーセキュリティ企業Searchlight Cyber​​の説明では、この脆弱性を悪用すると未認証の攻撃者がサンドボックスから脱出し、高度な攻撃手法を用いてServiceNowプラットフォーム上でリモートからコードを実行できるという。ServiceNowは4月以降、ホスト型インスタンスにおいて同脆弱性への対処を進めており、7月13日にセルフホスト型インスタンス向けのセキュリティアップデートをリリースしたばかりだった。

BleepingComputerの聞き取りに対し、ServiceNowの広報担当は次のように述べている。「CVE-2026-6875として特定され、以前に開示されたセキュリティ脆弱性に関連する悪用活動について、あるサイバーセキュリティ企業が最近発表した内容を認識している。これまでの調査に基づくと、この活動がServiceNowのホストするインスタンスに関連している証拠は確認されていない」

ServiceNowのAIプラットフォームは年間1,000億件以上のワークフローを実行しており、Fortune 500企業の85％において10万超の企業向けAIアプリケーションを支えているとされる。同社は先月、脆弱なAPIエンドポイントを介した認証不要のアクセス不備を悪用し、顧客インスタンスのデータを照会するセキュリティインシデントについても非公開で情報を開示していた。

OpenSSL、DoS脆弱性「HollowByte」を密かに修正

SecurityWeek – July 20, 2026

Oktaのレッドチームにより、OpenSSLにサービス拒否（DoS）攻撃を可能にする脆弱性が発見された。「HollowByte」と名付けられたこの脆弱性は、セキュリティハンドシェイクが完了する前にサーバーのメモリを枯渇させる恐れがあるという。

HollowByteはOpenSSLの旧バージョンにおいて、ハンドシェイクメッセージの4バイトのヘッダーで宣言されたメッセージボディの長さを基に、受信バッファサイズを事前割り当てしていたことに起因するそうだ。

この問題を引き起こすのは、わずか11バイトの有害なペイロードとされている。このペイロードは実際よりも大きなメッセージボディのサイズを宣言することで、即座には解放されないバッファの事前割り当てを強制的に実行。実際のデータが到着する前に事前割り当てが行われるため、攻撃者は11バイトのペイロードを送信するだけで、検証なしに最大131KBのバッファ割り当てを行えると説明された。「その結果、ワーカースレッドはブロックされ、決して到着することのないデータを無期限に待ち続けることになる」とOktaは述べている。

さらにOktaは「宣言するサイズをランダムに変えた接続を次々と発生させることで、攻撃者はアロケータ（メモリ割り当て機能）による解放済みメモリ領域の再利用を妨げることができる」と説明。「攻撃者が切断した後も、サーバーのメモリ使用量は肥大化したままとなる。そのメモリを回収する唯一の方法は、プロセスを終了させることだ」と付け加えた。

OpenSSLを使用するApache、NGINX、Node.js、Python、Ruby、PHP、MySQL、PostgreSQLなどのアプリケーション、サーバー、ランタイム、データベースは、修正済みバージョンにアップグレードしない限り影響を受ける模様。パッチはOpenSSLバージョン4.0.1に密かに追加されるとともに、バージョン3.6.3、3.5.7、3.4.6、3.0.21にもいつの間にかバックポートされたようだ。