ServiceNow의 AI 플랫폼에서 최고 심각도(CVSS 10.0)를 받은 취약점 3개를 포함해 총 4개의 보안 결함이 발견됐습니다. 이 취약점들은 로그인하지 않은 외부 공격자도 코드 실행(RCE), SQL 삽입(데이터베이스를 마음대로 조작하는 공격), 권한 상승 등을 일으킬 수 있어 매우 위험합니다. ServiceNow가 직접 호스팅하는 고객 인스턴스에는 이미 패치가 적용됐지만, 자체 서버에서 ServiceNow를 운영하는 조직은 반드시 패치를 직접 적용해야 합니다. 앞서 공개된 유사 취약점(CVE-2026-6875)은 실제 공격에 악용된 정황이 포착된 바 있어 즉각적인 조치가 요구됩니다.
ServiceNow AI Platform에서 CVSS 10.0짜리 코드 인젝션, 접근 제어 오류, SQL 인젝션 취약점 3종과 CVSS 8.7의 샌드박스 탈출 취약점 1종이 공개됐다. 인증 없이 원격으로 악용 가능하다.
공격자는 인증 없이 임의 코드 실행, 데이터베이스 전체 SQL 조작, 인스턴스 데이터 생성·변조, 권한 상승을 일으킬 수 있다. 연결된 외부 시스템까지 기밀성·무결성·가용성 모두 심각한 영향을 받는다.
GraphQL API의 코드 인젝션 결함, 이미지 업로드 처리기의 잘못된 접근 제어, 동적 스키마 ORDER BY 절을 통한 SQL 인젝션, Now Platform 샌드박스 탈출 버그가 원인이다.
ServiceNow는 호스팅 인스턴스에 패치를 배포했으며 Xanadu·Yokohama·Zurich·Australia 버전별 핫픽스를 제공했다. 자체 호스팅 고객은 해당 버전 패치를 직접 적용해야 한다.
자사 서버에서 ServiceNow를 운영 중이라면 버전(Xanadu, Yokohama, Zurich, Australia)을 확인하고 지정된 Patch/Hot Fix 이상으로 즉시 업그레이드해야 한다. 이전 유사 취약점(CVE-2026-6875)의 실제 악용이 확인된 만큼 이번 결함도 신속한 대응이 필수다.
본문
Swati Khandelwal · 2026년 8월 28일 · 취약점 / 클라우드 보안
ServiceNow가 ServiceNow AI Platform에 영향을 미치는 보안 결함 4건에 대한 패치를 배포했습니다. 이 중 3건은 CVSS 점수 10.0으로 평가됐으며, 특정 조건에서는 인증되지 않은 공격자도 악용할 수 있습니다.
ServiceNow는 자사가 호스팅하는 인스턴스에 보안 업데이트를 배포하고 파트너 및 자체 호스팅 고객에게도 업데이트를 제공했습니다. 단, 자체 인스턴스를 직접 운영하는 조직은 패치를 스스로 적용해야 합니다.
보안 권고문은 2026년 8월 27일에 공개됐으며, 4개의 취약점은 다음과 같습니다.
- CVE-2026-18885 (CVSS 점수: 10.0) — GraphQL Composite Data API의 코드 인젝션(삽입) 취약점. 인증되지 않은 사용자가 임의 코드를 실행하고 인스턴스 데이터에 접근하거나 수정할 수 있음
- CVE-2026-18886 (CVSS 점수: 10.0) — 시스템 구성 이미지 업로드 프로세서의 잘못된 접근 제어 취약점. 인증되지 않은 사용자가 인스턴스 데이터를 생성하거나 수정해 권한 상승을 유발할 수 있음
- CVE-2026-74820 (CVSS 점수: 10.0) — 동적 스키마 ORDER BY 절을 통해 도달할 수 있는 SQL 인젝션 취약점. 인증되지 않은 사용자가 인스턴스의 내부 데이터베이스에 임의 SQL 구문을 실행할 수 있음
- CVE-2026-6876 (CVSS 점수: 8.7) — Now Platform의 샌드박스 탈출 취약점. 인증되지 않은 사용자가 임의 코드를 실행할 수 있음
최고 심각도 결함 3건은 CVSS 벡터 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H를 공유합니다. 이는 네트워크를 통해 접근 가능하고, 공격 복잡도가 낮으며, 권한 및 사용자 조작이 불필요한 공격으로, 취약한 컴포넌트와 이에 연결된 시스템 모두에서 기밀성·무결성·가용성에 높은 영향을 미친다는 것을 의미합니다.
이번 권고문은 동일 플랫폼의 사전 인증 샌드박스 탈출 취약점인 CVE-2026-6875에 이어 공개됐습니다. Searchlight Cyber는 해당 결함을 2026년 4월 1일 ServiceNow에 신고했으며, ServiceNow는 7월 13일에 권고문을 발표했습니다.
위협 인텔리전스 기업 Defused는 7월 권고문 공개 며칠 후 CVE-2026-6875의 실제 악용 사례를 관측하고 있다고 밝혔다가, 이후 포착된 페이로드(공격 코드)가 Searchlight Cyber가 공개한 개념 증명(PoC) 익스플로잇과 일치한다는 정정문을 발표했습니다.
ServiceNow 대변인은 The Hacker News에 다음과 같이 밝혔습니다. "ServiceNow는 최근 한 사이버보안 기업이 이전에 공개된 보안 취약점(CVE-2026-6875)과 관련된 악용 활동에 대해 발표한 내용을 인지하고 있습니다. 현재까지 조사 결과, 해당 활동이 ServiceNow가 호스팅하는 인스턴스와 관련이 있다는 증거는 발견되지 않았습니다."
"이 문제를 해결하기 위한 업데이트와 패치를 제공했으며, 아직 적용하지 않은 자체 호스팅 및 ServiceNow 호스팅 고객 모두에게 관련 패치 적용을 권장합니다. 또한 패치 적용에 도움이 필요한 고객과는 계속해서 직접 협력할 것입니다."라고 대변인은 덧붙였습니다.
CVSS 10.0 평점은 ServiceNow가 직접 산정한 것입니다. ServiceNow는 자사 제품에 대한 CVE 번호 부여 기관(CNA)이며, 2026년 4월 15일부터 NIST는 CISA의 알려진 악용 취약점(KEV) 목록에 등재되거나, 연방 정부 소프트웨어에 영향을 미치거나, 행정 명령 14028에 따라 중요(critical)로 지정된 취약점에 한해서만 보완 정보를 제공하고 있습니다.
2026년 8월 28일 기준으로 4건의 결함 중 어느 것도 해당 목록에 등재되지 않아, ServiceNow의 자체 평가가 유일한 심각도 기준으로 남아 있습니다.
ServiceNow는 새로 공개된 최고 심각도 결함 3건을 모두 '낮은 공격 복잡도'로 평가했습니다. 7월에 악용이 보고된 샌드박스 탈출 취약점의 경우, 동일한 버전의 스코어링 체계에서 공격 복잡도를 '높음'으로 설정해 9.5점을 부여했으며, 나머지 지표는 동일합니다.
ServiceNow는 8월 권고문에서 영향을 받는 버전을 다음과 같이 명시했습니다.
- Xanadu — Patch 11 Hot Fix 7a 이전 모든 버전
- Yokohama — Patch 12 Hot Fix 3b 이전 모든 버전, 그리고 Patch 13 Hot Fix 4 이전 모든 버전
- Zurich — Patch 7b Hot Fix 3, Patch 8 Hot Fix 5, Patch 9 Hot Fix 6, Patch 10 Hot Fix 2m(m-branch), Patch 10 Hot Fix 3(표준), Patch 11, 또는 Patch 12 이전 모든 버전
- Australia — Patch 2 Hot Fix 3, Patch 3 Hot Fix 2, Patch 3m, Patch 4, 또는 Patch 5 이전 모든 버전
CVE-2026-18886의 레코드는 "Australia Patch 5 이전 모든 버전"을 상태 불명(unknown)으로 표시한 반면, 나머지 3건의 레코드는 동일 버전을 영향 받음(affected)으로 표시합니다. 4건 모두 기본 제품 상태를 '영향 없음'으로 설정하고 있어, 목록에 없는 릴리스는 영향 범위에서 제외됩니다.
ServiceNow는 CVE-2026-6876을 인증되지 않은 사용자가 Now Platform 내에서 임의 코드를 실행할 수 있는 문제로 설명하고 있지만, 동일 결함에 부여한 CVSS 벡터는 PR:L(낮은 권한 필요)을 명시하고 있습니다.
해당 벡터는 또한 취약한 컴포넌트 외부 시스템에 대한 영향이 없다고 기록하고 있으며, 이는 10.0점을 받은 3건과 다른 점입니다.
ServiceNow는 4건의 레코드 모두에서 현재 악용 사례를 인지하지 못하고 있다고 밝혔습니다. The Hacker News는 2026년 8월 28일 기준 최고 심각도 결함 3건에 대한 공개 익스플로잇 코드를 발견하지 못했습니다.
Searchlight Cyber는 이 글을 작성하는 시점까지 8월에 공개된 결함에 대한 기술적 분석 보고서를 발표하지 않았습니다. 해당 기업의 보안 연구원 Adam Kues는 7월에 ServiceNow가 "샌드박스 컨텍스트에서 실행 가능한 코드의 유형을 엄격히 제한함으로써 인스턴스 보안을 강화하고 있다"고 밝힌 바 있습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
