ServiceNow cảnh báo lỗ hổng bảo mật cho phép truy cập trái phép vào dữ liệu khách hàng

Nền tảng quản lý dịch vụ doanh nghiệp ServiceNow mới đây đã xác nhận một sự cố bảo mật, trong đó các đối tượng tấn công đã khai thác một lỗ hổng để chiếm quyền truy cập trái phép vào các instance của khách hàng.

Trong thông báo gửi đến người dùng, ServiceNow cho biết: “Vào ngày 5/6/2026, chúng tôi đã áp dụng một bản cập nhật bảo mật cho các instance được lưu trữ trên cloud. Bản cập nhật này giải quyết một vấn đề cho phép người dùng không cần xác thực (unauthenticated) có thể đạt được quyền truy cập cao hơn mức cho phép trong một số điều kiện nhất định.”

Hiện tại, lỗ hổng này chưa được gán mã định danh CVE cụ thể. Để khắc phục, ServiceNow đã thay đổi cấu hình endpoint nhằm giới hạn quyền truy cập, chỉ cho phép những người dùng đã xác thực (authenticated) mới có thể thực hiện các thao tác liên quan.

Phạm vi ảnh hưởng và phản ứng của ServiceNow

Theo thông tin từ hãng, sự cố này chủ yếu ảnh hưởng đến các khách hàng đang sử dụng bản phát hành “Australia” hoặc những người đã thực hiện các thay đổi cấu hình cụ thể trên các phiên bản trước đó. ServiceNow xác nhận đã phát hiện các hoạt động bất thường và bằng chứng cho thấy kẻ tấn công đã thực hiện thành công các truy vấn vào bảng dữ liệu (instance tables) của một nhóm khách hàng nhất định. Các khách hàng bị ảnh hưởng trực tiếp đã được thông báo để thực hiện các biện pháp ứng phó cần thiết.

Tranh cãi về thời gian xử lý

Đáng chú ý, một số thảo luận trên diễn đàn Reddit cho thấy lỗ hổng này có thể đã được báo cáo cho ServiceNow từ ngày 7/4/2026. Một người dùng tự xưng là thành viên đội ngũ bảo mật đã phát hiện vấn đề và thông báo cho hãng từ hai tháng trước, nhưng thời điểm đó ServiceNow được cho là đã phân loại đây là vấn đề không khẩn cấp và lên kế hoạch sửa chữa trong các bản cập nhật tương lai.

Hiện tại, ServiceNow vẫn chưa đưa ra bình luận chính thức về cáo buộc chậm trễ trong việc xử lý lỗ hổng này. Đây là sự việc đang tiếp tục được theo dõi sát sao bởi cộng đồng an ninh mạng.

Nguồn tham khảo: The Hacker News