اختراق واجهة ServiceNow: نقطة وصول غير مصدقة كشفت بيانات
أكدت ServiceNow في ٥ يونيو ٢٠٢٦ أنها طبقت تحديثاً أمنياً لمعالجة ثغرة حرجة في نسخ العملاء المستضافة بعد اكتشاف نشاط غير طبيعي. تضمنت الثغرة مسار وصول غير مصدق عبر نقطة واجهة برمجة تطبيقات misconfigured سمحت للمهاجمين بالاستعلام عن بيانات حساسة من نسخ العملاء دون بيانات اعتماد صالحة.
وفقاً لتحليلات أمنية متعددة، كانت الثغرة معروفة داخلياً منذ ٧ أبريل على الأقل ولكنها بقيت غير مصححة لمدة شهرين تقريباً قبل اكتشاف الاستغلال النشط. أصدرت ServiceNow نشرة دعم (KB3067321) لا يمكن الوصول إليها إلا عبر بوابة دعم العملاء، مما يعني أن المجتمع الأمني الأوسع كان لديه رؤية محدودة في القضية لعدة أيام.
أضافت CISA الثغرة إلى قائمة الثغرات المستغلة المعروفة (الإصدار 2026.06.09)، محددة موعداً نهائياً للمعالجة للوكالات الفيدرالية. أثر الحادث على عملاء متعددين، وإن لم تفصح ServiceNow عن النطاق الكامل للبيانات المكشوفة أو عدد النسخ المتأثرة.
يسلط الحادث الضوء على نمط متكرر في أمان SaaS المؤسسي: واجهات برمجة التطبيقات التي صُممت للراحة أو الأدوات الداخلية تصبح أسطح هجوم عندما تكون متطلبات المصادقة غير متسقة. الدروس المستفادة: تحقق من أن جميع نقاط REST API تطبق المصادقة، وتابع المراقبة المستمرة، واطلب الشفافية من مزودي SaaS بشأن الجداول الزمنية للأحداث.
فجوة شهرين بين الاكتشاف الداخلي والإصلاح غير مقبولة لمنصة مؤسسية تحتفظ ببيانات خدمات تكنولوجيا المعلومات للحكومات وأكبر الشركات. حقيقة أن النشرة كانت مخفية خلف تسجيل دخول العميل لأيام تضاعف المشكلة. يجب إخضاع مزودي SaaS لنفس معايير الإفصاح كالمشاريع مفتوحة المصدر.
ما الذي تسبب في اختراق ServiceNow؟
نقطة واجهة برمجة تطبيقات misconfigured لم تتطلب المصادقة سمحت للمهاجمين بالاستعلام عن بيانات حساسة للعملاء من النسخ المستضافة. كانت الثغرة معروفة داخلياً منذ أبريل ٢٠٢٦ ولكن لم تُصحح إلا بعد الاستغلال في يونيو.