ServiceNow bestätigt unbefugten Zugriff auf Kundendaten

Über einen falsch konfigurierten API-Endpunkt konnten Unbefugte auf Daten in ServiceNow-Instanzen zugreifen. Ein Patch kam erst Wochen nach einer Bug-Bounty-Meldung.

ServiceNow hat bestätigt, dass eine Fehlkonfiguration in der eigenen Plattform es ermöglichte, ohne Anmeldung auf Kundendaten zuzugreifen. Betroffen war ein REST-Endpunkt, der laut Berichten aus Administratorenkreisen keine Authentifizierung verlangte. Das Unternehmen wurde nach eigenen Angaben durch ungewöhnliche Aktivitäten auf das Problem aufmerksam und informierte betroffene Kunden über das interne Supportportal sowie direkte Fallmeldungen.

„Am 5. Juni 2026 hat ServiceNow ein Sicherheitsupdate auf die gehosteten Kundeninstanzen angewendet. Das Update betraf eine Sicherheitslücke, durch die ein nicht authentifizierter Benutzer unter bestimmten Umständen einen weitergehenden Zugriff auf ServiceNow-Instanzen erhalten konnte, als vorgesehen.“

ServiceNow

Patch kam Anfang Juni

Am 5. Juni 2026 verteilte ServiceNow ein Sicherheitsupdate an alle gehosteten Kundeninstanzen. Die Konfigurationsänderung stellt sicher, dass der betreffende Endpunkt künftig nur noch für angemeldete Nutzer erreichbar ist. Laut dem internen Bulletin des Unternehmens hatten Angreifer die Schwachstelle zuvor erfolgreich ausgenutzt und Abfragen gegen Kundentabellen durchgeführt.

Welche Daten konkret eingesehen wurden, teilte ServiceNow nicht mit. In solchen Instanzen liegen üblicherweise unter anderem IT-Supporttickets, Mitarbeiterdaten, interne Dokumentationen sowie sicherheitsrelevante Konfigurationsinformationen.

Wochen zwischen Meldung und Patch

Eine vertrauliche Bug-Bounty-Einreichung, die ein vergleichbares Problem beschrieb, ging bereits am 22. April 2026 bei ServiceNow ein. Das Sicherheitsupdate folgte dennoch erst mehr als sechs Wochen später, nachdem Aktivitäten gegen Kundeninstanzen beobachtet worden waren. Eine Erklärung für die verzögerte Reaktion hat das Unternehmen bislang nicht gegeben.

In einer späteren Stellungnahme bewertete ServiceNow die beobachteten Zugriffe als wahrscheinlich auf Sicherheitsforscher oder Bug-Bounty-Aktivitäten zurückgehend, nicht auf kriminelle Akteure.

(red)