ServiceNow merilis pembaruan keamanan pada 29 Oktober 2026 untuk tiga celah di ServiceNow AI Platform dan modul Task Plan Templates. Yang paling serius adalah CVE-2026-103093 dengan skor CVSS 4.0 sebesar 9,4. Celah ini memungkinkan pengguna berperan admin menembus batas sandbox Rhino dan menjalankan kode di sistem operasi host. ServiceNow menyatakan belum mengetahui adanya eksploitasi berbahaya.
Tiga celah dalam satu advisori
Ketiganya dibahas dalam artikel basis pengetahuan KB3228994. CVE-2026-103093 adalah masalah kontrol akses yang membuat pembatasan sandbox Rhino bisa dilewati. Karena penyerang harus sudah memegang peran admin, risikonya lebih tinggi bila akun admin pernah dicuri atau disalahgunakan orang dalam. Skor 9,4 mencerminkan dampak yang tinggi terhadap kerahasiaan, integritas, dan ketersediaan setelah sandbox lolos.
CVE-2026-103094 (CVSS 7,1) menyangkut kata sandi kredensial OAuth yang tersimpan sebagai teks biasa di tabel sistem. CVE-2026-6877 (CVSS 5,3) adalah pelewatan pemisahan domain pada Task Plan Templates versi 2.0.0 dan lebih lama. Artikel Daily CyberSecurity menyebut celah-celah ini ditemukan lewat pengujian internal dan laporan bug bounty, tanpa menyebut nama pelapor.
Rilis yang terdampak mencakup keluarga Yokohama, Zurich, dan Australia. Basis data kerentanan Strix mencatat versi di bawah Yokohama Patch 13 Hot Fix 4a, Zurich Patch 10 Hot Fix 3b, Zurich Patch 12, Zurich Patch 13, dan Australia Patch 5 sebagai terdampak. EPSS memperkirakan peluang eksploitasi sekitar 0,43 persen dalam 30 hari, dan celah ini belum masuk katalog KEV CISA. Belum ada proof-of-concept publik.
Versi perbaikan
Untuk AI Platform, ServiceNow menyediakan Yokohama Patch 13 Hot Fix 4a atau 5a, Zurich Patch 10 Hot Fix 3b atau 4b, serta Australia Patch 5. Zurich Patch 12 juga memuat perbaikan CVE-2026-103093. Daftar lengkap build untuk CVE-2026-103094 lebih panjang dan mencakup juga Xanadu Patch 11 Hot Fix 7a, jadi cocokkan dengan advisori resmi. Task Plan Templates perlu dinaikkan ke versi 3.0.0 atau lebih baru.
Langkah yang perlu diambil
Administrator instans yang dikelola sendiri atau oleh mitra perlu memeriksa rilis yang berjalan dan memasang patch dari KB3228994. Selagi menunggu jadwal pembaruan, tinjau siapa saja yang memegang peran admin, cabut akun yang tidak lagi dipakai, dan aktifkan autentikasi multifaktor. Tim yang memakai konektor OAuth sebaiknya mengganti kata sandi kredensial setelah patch terpasang, karena sebelumnya tersimpan tanpa enkripsi di tabel sistem. Perusahaan Indonesia yang menjalankan ServiceNow untuk layanan TI atau keuangan sebaiknya memasukkan patch ini ke jendela pemeliharaan terdekat.
Sumber: Daily CyberSecurity dan Strix. Gambar: Daily CyberSecurity.