Las tres CVE afectan a ServiceNow AI Platform<\/strong>. Deben actualizarse las instancias que utilicen versiones anteriores a los siguientes parches de su familia de lanzamiento:<\/p>\n\n\n\n ServiceNow report\u00f3 y corrigi\u00f3 tres vulnerabilidades cr\u00edticas en ServiceNow AI Platform<\/strong>, plataforma PaaS orientada a automatizar flujos empresariales e integrar capacidades de IA. Los registros p\u00fablicos no atribuyen el descubrimiento de las tres fallas a un investigador individual. Todas cuentan con CVSS v4.0: 10.0 (Cr\u00edtica)<\/strong>, son explotables remotamente con baja complejidad, sin autenticaci\u00f3n ni interacci\u00f3n de usuario, y pueden comprometer confidencialidad, integridad y disponibilidad de la instancia.<\/p>\n\n\n\n CVE-2026-18885<\/strong> es una inyecci\u00f3n de c\u00f3digo en la API GraphQL Composite Data<\/strong>. Bajo determinadas circunstancias, un atacante no autenticado podr\u00eda ejecutar c\u00f3digo arbitrario dentro de la plataforma y acceder a datos de la instancia o modificarlos fuera de los permisos previstos.<\/p>\n\n\n\n CVE-2026-18886<\/strong> es una vulnerabilidad de control de acceso inadecuado en el procesador de carga de im\u00e1genes de configuraci\u00f3n del sistema. Su explotaci\u00f3n permitir\u00eda a un usuario no autenticado crear o modificar datos de la instancia y, como consecuencia, escalar privilegios.<\/p>\n\n\n\n CVE-2026-74820<\/strong> es una inyecci\u00f3n SQL vinculada a una cl\u00e1usula ORDER BY con esquema din\u00e1mico. Un atacante no autenticado podr\u00eda ejecutar sentencias SQL arbitrarias contra la base de datos subyacente de la instancia, con capacidad de leer o alterar informaci\u00f3n fuera del alcance autorizado. <\/p>\n\n\n\n ServiceNow indic\u00f3 que ya despleg\u00f3 las actualizaciones de seguridad en las instancias hospedadas por la compa\u00f1\u00eda y distribuy\u00f3 los parches para socios y clientes autohospedados. Al momento de la publicaci\u00f3n, no se ten\u00eda conocimiento de explotaci\u00f3n maliciosa de estas tres vulnerabilidades.<\/p>\n\n\n\n Los clientes autohospedados deben aplicar con urgencia el hot fix<\/em> o parche correspondiente a su familia de versi\u00f3n, o actualizar a una versi\u00f3n corregida. Los clientes con instancias gestionadas por ServiceNow deben confirmar que la actualizaci\u00f3n ya se haya aplicado a cada instancia, incluidos los ambientes de desarrollo, pruebas y contingencia.<\/p>\n\n\n\n El parche y las instrucciones espec\u00edficas por versi\u00f3n se encuentran en el aviso oficial de ServiceNow: KB3152242.<\/a><\/p>\n\n\n\n Como medida complementaria, se recomienda restringir la exposici\u00f3n externa de APIs y funciones no esenciales, revisar accesos an\u00f3malos y cambios no autorizados en registros administrativos, y conservar los registros de auditor\u00eda de API, GraphQL, autenticaci\u00f3n y actividad de base de datos. Debido a que las tres fallas permiten ataques sin autenticaci\u00f3n, deben tratarse como prioridad m\u00e1xima de remediaci\u00f3n.<\/p>\n\n\n\n\n
Descripci\u00f3n<\/h2>\n\n\n\n
Soluci\u00f3n: <\/h2>\n\n\n\n
Informaci\u00f3n adicional:<\/h2>\n\n\n\n