Le 24 septembre 2026, ServiceNow a publié KB3159623 pour cinq vulnérabilités de son AI Platform : deux critiques et trois élevées. CVE-2026-13016 est une injection SQL; CVE-2026-86860 est un défaut d'autorisation pouvant permettre une élévation de privilèges. Les trois autres failles concernent des contournements d'autorisation ou le contrôle de données.
Le Centre canadien a relayé l'avis le 25 septembre. ServiceNow indique avoir corrigé les instances hébergées ; les partenaires et clients qui gèrent eux-mêmes leur environnement doivent confirmer leur niveau de patch et leur chemin de mise à jour.
Les cinq vulnérabilités
Le lot comprend CVE-2026-13016, une injection SQL, CVE-2026-86860, un défaut d'autorisation, ainsi que CVE-2026-86857, CVE-2026-86858 et CVE-2026-86859 liés à l'accès ou à la manipulation de données. L'avis éditeur doit être consulté pour les vecteurs et les versions exactes.
Ces descriptions indiquent des capacités potentielles ; elles ne prouvent pas qu'une instance donnée a été consultée ou modifiée. Cette distinction est importante pour organiser une réponse proportionnée.
Les familles de versions à comparer
Les seuils corrigés diffèrent selon la famille : Australia Patch 2 Hot Fix 4b W32, Patch 4 Hot Fix 3 ou Patch 5; Yokohama Patch 13 Hot Fix 5a; Zurich Patch 10 Hot Fix 3b, Patch 10 Hot Fix 4a W32 ou Patch 11 Hot Fix 3. Comparez votre niveau à la liste officielle complète, car une branche peut proposer plusieurs chemins de mise à niveau.
Identifiez la famille, le patch et les hot fixes réellement installés. Quatre vulnérabilités sur cinq ne nécessitent pas d'authentification selon l'avis MS-ISAC. Une instance hébergée, un environnement partenaire et une intégration locale ne suivent pas nécessairement le même parcours de maintenance.
Corriger et confirmer l'état
Demandez la confirmation du correctif à l'équipe qui opère l'instance, puis vérifiez le niveau dans la console et les journaux de changement. Pour un environnement partenaire ou auto-géré, suivez KB3159623 et les instructions de mise à niveau applicables.
Conservez les éléments utiles avant de modifier les règles d'accès ou les données. Les recommandations générales de sécurité ne remplacent pas la confirmation du patch installé.
Données, intégrations et privilèges
Cartographiez les rôles administrateurs, les intégrations API et les tables ou workflows accessibles à AI Platform. Recherchez les créations de comptes, changements de privilèges, appels API inhabituels et modifications de données qui ne correspondent pas à une opération planifiée.
MS-ISAC indiquait le 25 septembre ne disposer d'aucun signalement d'exploitation dans la nature. Traitez cette information comme un état de connaissance daté, pas comme une garantie pour une instance non vérifiée.
Le lien avec Soclyde
Soclyde ne corrige pas ServiceNow et ne détermine pas si une instance a été utilisée par un tiers. Il peut aider à organiser les accès d'administration et les secrets d'intégration dans un coffre chiffré local-first, avec une valeur distincte par service.
Cette organisation réduit les copies de secrets pendant une revue d'accès, sans remplacer les contrôles de rôles, les journaux ni la remédiation ServiceNow. Pour organiser les identifiants des intégrations, consultez le guide de partage sécurisé en équipe et notre audit d'un gestionnaire de mots de passe.
À retenir
ServiceNow a corrigé cinq CVE d'AI Platform; les versions requises diffèrent entre Australia, Yokohama et Zurich. Vérifiez le hot fix exact et les actions effectuées sur l'instance, puis contrôlez les accès et les données. Consultez le générateur de mots de passe sécurisé ou contactez Soclyde.
