2026年8月27日——ServiceNow发布安全公告，披露其AI平台的四个漏洞，其中三个在CVSS评分体系下拿到满分10.0，且在特定配置下无需任何认证即可利用。托管实例已自动获得修复，而自托管客户必须自行部署补丁——这恰恰是最需要紧急行动、却最容易被拖延的那批人。目前尚无在野利用披露，但满分漏洞加未认证利用的组合，留给自托管组织的从容时间不会太长。 ## 三大满分漏洞逐一拆解 CVE-2026-18885是GraphQL Composite Data API中的代码注入漏洞，允许未认证用户执行任意代码并篡改实例数据。GraphQL Composite Data API是ServiceNow平台的数据聚合层，是现代Web与AI应用查询后端数据的核心通道——在这一层拿下任意代码执行，等于直接骑在业务逻辑的心脏上。 CVE-2026-18886位于系统配置图像上传处理器，属于失效的访问控制导致的权限提升。上传处理器处理的是系统级配置数据，访问控制一旦形同虚设，攻击者就能从"访客"一步跨到"管理员"。 CVE-2026-74820是通过动态schema的ORDER BY子句可达的SQL注入，让未认证攻击者对实例数据库执行任意查询。ORDER BY注入常被开发者视为"只能排序、危害有限"，但动态schema让排序字段直接进入查询构造，攻击面随之扩大到整个数据库。 第四个漏洞CVE-2026-6876是Now平台的沙箱逃逸，评分8.7，同样允许未认证代码执行。值得注意的是，它与此前Searchlight Cyber在4月1日报告的同类预认证沙箱逃逸CVE-2026-6875一脉相承——同一平台在四个月内两次出现沙箱逃逸类缺陷，指向的是一类结构性问题而非孤立失误。 ## 满分背后的共同向量 三个满分漏洞共享同一攻击向量：网络可达、低复杂度、无特权要求、无用户交互，且对机密性、完整性与可用性均造成高影响。翻译成运营语言就是：一个能访问你ServiceNow实例网络端口的攻击者，不需要钓鱼、不需要凭证、不需要等你点任何东西，就能执行代码、改写数据、查询数据库。 对把核心业务流程押在ServiceNow上的企业——工单、HR流程、ITSM、客户服务全在一个平台上——这不是"一个漏洞"，而是整个数字化运营底座的信任问题。 ## AI平台的安全悖论 这批漏洞的位置尤其值得玩味：它们不在传统ITSM模块，而在ServiceNow正大力向企业推销的AI Agent基础设施里。厂商把"自主AI智能体"作为下一代企业计算的卖点，而支撑这一卖点的代码层却交出了三个满分的未认证漏洞答卷。 这并非ServiceNow独有，而是一个行业性悖论：AI平台的攻击面扩张速度，远快于其安全工程的成熟速度。AI Agent需要聚合数据（GraphQL API）、需要处理多模态输入（图像上传）、需要灵活查询（动态schema）——每一个提升能力的特性，都同时扩大了可被滥用的接口集合。企业在采购AI平台时评估的"能力清单"，应当同步附上一份"新增攻击面清单"。 ## 行动清单 1. 自托管ServiceNow用户立即升级：补丁覆盖Xanadu、Yokohama与Zurich三个发布版本，确认自己实例所在版本分支后尽快应用； 2. 托管实例用户也别高枕无忧：确认实例已收到自动更新，并检查是否有因配置自定义而延迟的安全例外； 3. 评估实例的网络暴露面：ServiceNow实例面向互联网的，应审视是否可以收敛到VPN或反向代理之后； 4. 排查先行：打补丁前检查GraphQL API的异常请求模式、系统配置上传记录与数据库慢查询日志，确认没有既存入侵痕迹； 5. 将AI平台纳入与核心业务系统同级的漏洞管理节奏，而不是当作"新功能模块"延迟处理。 满分漏洞的意义不在数字本身，而在于它精确描述了"零门槛"三个字。当攻击者的成本趋近于零，防御者的响应速度就是唯一的变量。对自托管用户，这份公告是本周最重要的一封邮件；对托管用户，它是检查厂商SLA兑现情况的契机。AI平台正在成为企业的中枢神经系统——而神经系统，从来容不得半点未经授权的触碰。