สรุปสั้น

บริษัท ServiceNow ออกอัปเดตความปลอดภัยแก้ช่องโหว่ 5 รายการในแพลตฟอร์ม AI Platform โดยในจำนวนนี้มีสองรายการที่ได้รับการจัดระดับวิกฤต ซึ่งอาจเปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนเข้าถึง แก้ไข หรือดึงข้อมูลอ่อนไหวของอินสแตนซ์ออกไปได้ ทางบริษัทเรียกร้องให้ลูกค้าที่ติดตั้งใช้งานเอง (self-hosted) ตรวจสอบเวอร์ชันและติดตั้งแพตช์โดยเร็ว ช่องโหว่ทั้งห้าถูกครอบคลุมในประกาศ ได้แก่ CVE-2026-86857, CVE-2026-86858, CVE-2026-13016, CVE-2026-86859 และ CVE-2026-86860 ซึ่งถูกพบจากการทดสอบภายใน การประเมินของลูกค้า การเปิดเผยอย่างรับผิดชอบ และโครงการ bug bounty

ServiceNow ระบุว่ายังไม่พบหลักฐานว่ามีผู้โจมตีใช้ช่องโหว่เหล่านี้โจมตีจริงในสภาพแวดล้อมจริง อย่างไรก็ตาม ผลกระทบเชิงเทคนิคของช่องโหว่ทำให้การรีบแพตช์เป็นเรื่องสำคัญ โดยเฉพาะกับอินสแตนซ์ที่เปิดออกสู่อินเทอร์เน็ตหรือเชื่อมต่อกับกระบวนการทำงานและข้อมูลองค์กรที่อ่อนไหว ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2026-13016 ซึ่งเป็นช่องโหว่ SQL injection และ CVE-2026-86860 ที่เป็นช่องโหว่ขาดการตรวจสอบสิทธิ์ (missing authorization)

รายละเอียดข่าว

เว็บไซต์ Cybersecurity News รายงานเมื่อวันที่ 25 กันยายน พ.ศ. 2569 ว่า ServiceNow ปล่อยอัปเดตความปลอดภัยแก้ช่องโหว่ 5 รายการในแพลตฟอร์ม AI Platform โดยสองรายการอยู่ในระดับวิกฤต

ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2026-13016 ถูกจัดระดับวิกฤตและกระทบ ServiceNow AI Platform เป็นช่องโหว่ SQL injection ที่ในบางเงื่อนไขอาจเปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันคำสั่ง SQL ตามอำเภอใจต่อฐานข้อมูลเบื้องหลังของอินสแตนซ์ที่ได้รับผลกระทบ การโจมตีสำเร็จอาจทำให้ผู้โจมตีอ่าน แก้ไข หรือแทรกแซงข้อมูลที่จัดเก็บใน ServiceNow ได้ ซึ่งสร้างความเสี่ยงอย่างมากต่อองค์กรที่ใช้ ServiceNow บริหารงานบริการไอที เหตุการณ์ความปลอดภัย คำร้องของพนักงาน บันทึกสินทรัพย์ ข้อมูลลูกค้า และกระบวนการทางธุรกิจภายใน ส่วน CVE-2026-86860 ที่ระดับวิกฤตเช่นกัน เป็นช่องโหว่ขาดการตรวจสอบสิทธิ์ที่อาจเปิดให้ผู้โจมตีไม่ต้องยืนยันตัวตนดึงข้อมูลของอินสแตนซ์เกินกว่าการควบคุมการเข้าถึงที่กำหนดไว้

ประกาศเดือนกันยายน 2569 หมายเลข KB3159623 ยังให้รายละเอียดช่องโหว่ระดับสูงอีกสามรายการที่เกี่ยวกับจุดอ่อนด้านการอนุญาตและการควบคุมการเข้าถึง ServiceNow ระบุว่าลูกค้าที่เข้าร่วมโครงการแพตช์เดือนสิงหาคมได้รับการแก้ไขที่เกี่ยวข้องไปแล้ว ส่วนลูกค้าแบบ self-hosted ควรอัปเกรดหรือติดตั้งอัปเดตทันที

รายละเอียดช่องโหว่

  • CVE-2026-13016 (ระดับวิกฤต) — ช่องโหว่ SQL injection ใน ServiceNow AI Platform ที่ในบางเงื่อนไขเปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันคำสั่ง SQL ตามอำเภอใจต่อฐานข้อมูลเบื้องหลัง นำไปสู่การอ่าน แก้ไข หรือแทรกแซงข้อมูลในอินสแตนซ์
  • CVE-2026-86860 (ระดับวิกฤต) — ช่องโหว่ขาดการตรวจสอบสิทธิ์ (missing authorization) ที่เปิดให้ผู้โจมตีไม่ต้องยืนยันตัวตนดึงข้อมูลของอินสแตนซ์เกินขอบเขตการควบคุมการเข้าถึง และอาจนำไปสู่การยกระดับสิทธิ์
  • CVE-2026-86857 (ระดับสูง) — ช่องโหว่ข้ามการตรวจสิทธิ์ (authorization bypass) ที่เปิดให้ผู้ใช้ที่ยืนยันตัวตนแล้วเข้าถึงข้อมูลบน AI Platform ที่ตนไม่มีสิทธิ์เห็น
  • CVE-2026-86858 (ระดับสูง) — ช่องโหว่การควบคุมการเข้าถึงที่ไม่เหมาะสม ที่ในบางเงื่อนไขเปิดให้ผู้โจมตีไม่ต้องยืนยันตัวตนสร้าง แก้ไข หรือลบข้อมูลของอินสแตนซ์เกินสิทธิ์ที่กำหนด
  • CVE-2026-86859 (ระดับสูง) — ช่องโหว่ข้ามการตรวจสิทธิ์อีกรายการ ที่ต่างจาก CVE-2026-86857 ตรงที่เปิดให้ผู้โจมตีไม่ต้องยืนยันตัวตนเข้าถึงข้อมูลบน AI Platform ที่ควรถูกจำกัด

เวอร์ชันที่ได้รับการแก้ไขได้แก่ Yokohama Patch 13 Hot Fix 5a, Zurich Patch 10 Hot Fix 4a W32 และ Australia Patch 2 Hot Fix 4b W32 พร้อมเวอร์ชันแก้ไขเพิ่มเติมอย่าง Zurich Patch 10 Hot Fix 3b, Zurich Patch 11 Hot Fix 3, Australia Patch 4 Hot Fix 3 และ Australia Patch 5

ผลกระทบ

ServiceNow เป็นแพลตฟอร์มที่องค์กรจำนวนมากใช้บริหารงานบริการไอที เหตุการณ์ความปลอดภัย คำร้องของพนักงาน บันทึกสินทรัพย์ ข้อมูลลูกค้า และกระบวนการทางธุรกิจภายใน การที่ช่องโหว่วิกฤตเปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันคำสั่ง SQL หรือดึงข้อมูลเกินสิทธิ์ได้ หมายความว่าอินสแตนซ์ที่เปิดออกสู่อินเทอร์เน็ตหรือเชื่อมกับข้อมูลอ่อนไหวตกอยู่ในความเสี่ยงสูงที่ข้อมูลจะรั่วไหลหรือถูกดัดแปลง แม้ยังไม่พบการโจมตีจริง แต่เมื่อรายละเอียดถูกเปิดเผยและมีแพตช์ออกมาแล้ว โอกาสที่ผู้โจมตีจะย้อนวิศวกรรมเพื่อสร้าง exploit ก็เพิ่มขึ้น การรีบแพตช์จึงเป็นเรื่องเร่งด่วน โดยเฉพาะสำหรับผู้ใช้แบบ self-hosted ที่ต้องจัดการอัปเดตเอง

คำแนะนำ

  • ลูกค้าแบบ self-hosted ควรยืนยันเวอร์ชันที่ติดตั้งอยู่และอัปเกรดเป็นเวอร์ชันที่แก้ไขแล้วทันที (เช่น Yokohama Patch 13 Hot Fix 5a, Zurich Patch 10 Hot Fix 4a W32, Australia Patch 2 Hot Fix 4b W32)
  • ลูกค้าที่อยู่ในโครงการแพตช์เดือนสิงหาคมของ ServiceNow ได้รับการแก้ไขแล้ว แต่ควรตรวจสอบยืนยัน
  • ทบทวนสิทธิ์การเข้าถึงระดับผู้ดูแล และจำกัดการเปิดอินสแตนซ์ออกสู่อินเทอร์เน็ตเท่าที่จำเป็น
  • เฝ้าระวังคิวรีฐานข้อมูลที่ผิดปกติ การเปลี่ยนแปลงข้อมูลที่ไม่คาดคิด หรือความพยายามเข้าถึงโดยไม่ได้รับอนุญาตหลังแพตช์

แหล่งอ้างอิง