ServiceNow AI Platform 高危代码执行漏洞被利用：企业远程访问与日志审计需同步收紧

据来源显示，威胁情报公司 Defused 发现，攻击者已经开始利用 ServiceNow AI Platform 中的一个关键漏洞 CVE-2026-6875 发起攻击。该消息由 BleepingComputer 于 2026 年 7 月 20 日报道。该漏洞被描述为代码执行类问题，意味着一旦满足利用条件，攻击者可能借此在相关平台环境中执行非授权操作。对于依赖 ServiceNow 处理工单、自动化流程、IT 服务管理或 AI 相关能力的企业而言，这类漏洞的风险不只停留在单一系统层面，还可能影响账号权限、内部数据流转以及远程运维链路的安全边界。

目前公开摘要并未提供更多技术细节，例如具体受影响版本、攻击链步骤、修复状态或攻击规模。因此，企业在评估风险时应避免基于猜测做结论，但也不应等待完整攻击细节公开后才行动。漏洞已被用于实际攻击这一点本身，就足以将其列入优先级较高的应急排查事项。

事件要点：漏洞从“潜在风险”进入“被利用”阶段

从安全运营角度看，漏洞是否已经被攻击者利用，是判断处置优先级的重要分界线。ServiceNow 这类平台通常连接身份、工单、资产、自动化脚本以及内部审批流程，一旦出现代码执行风险，攻击者可能尝试利用平台信任关系扩大影响范围。来源并未披露攻击者身份或攻击目标行业，但“已开始利用”的信号，意味着相关组织应立即确认自身是否使用 ServiceNow AI Platform，并关注官方安全公告、补丁说明和威胁情报更新。

• 确认企业是否部署或接入 ServiceNow AI Platform 相关能力；
• 核查管理员账号、集成账号和 API Token 的异常使用痕迹；
• 检查近期是否出现异常工单、自动化任务、脚本执行或配置变更；
• 限制管理后台暴露面，避免不必要的公网访问；
• 对远程运维入口启用更严格的身份验证和访问控制。

对 VPN 用户与远程办公环境的影响

很多企业会通过 VPN、零信任网关或内网代理来访问 ServiceNow 及其相关管理系统。需要注意的是，VPN 的作用是保护传输链路和限制访问入口，但不能替代漏洞修复。如果后端平台本身存在可被利用的代码执行缺陷，攻击者一旦获得合法账号、被盗凭证或内部访问路径，仍可能对系统发起攻击。

因此，远程办公用户应重点关注账号安全与访问最小化。管理员不应仅因为系统“只允许内网或 VPN 访问”就降低警惕。相反，越是关键业务平台，越应结合多因素认证、设备可信检查、分段访问策略和日志审计来降低横向移动风险。个人用户在连接企业资源时，也应避免在不可信网络环境下登录管理后台；如需在公共网络中处理工作，可选择可信的加密连接工具，例如 RedGate VPN 这类方案，但前提仍是企业端已做好补丁和权限治理。

隐私与数据保护视角：关注平台内的敏感信息流

ServiceNow 平台往往承载大量内部运营信息，包括员工请求、IT 资产、审批记录、服务目录、自动化流程及可能的客户支持数据。若漏洞被用于未授权访问或执行恶意代码，潜在影响可能涉及数据泄露、流程篡改、凭证暴露以及审计记录被干扰。由于来源摘要未给出实际泄露案例，不能直接断言已有数据外泄；但从隐私保护角度，企业应将其作为敏感系统事件进行分级响应。

建议安全团队围绕“身份、权限、日志、网络边界”四条线同步排查：一方面确认是否存在异常登录、权限提升或未知集成；另一方面检查管理接口、插件、脚本和自动化任务是否被篡改。对拥有高权限的服务账号进行轮换和最小化授权，通常比单纯依赖外围访问控制更有效。

企业应急建议

在更多细节公开前，组织可先采取保守但有效的防护措施：关注 ServiceNow 官方渠道是否发布补丁或缓解方案；对外暴露的管理入口进行收敛；对近期日志进行回溯分析；对异常账号活动进行强制会话失效和凭证重置；同时通知远程办公人员提高警惕，避免在钓鱼邮件或伪装通知中输入企业凭证。

总体来看，CVE-2026-6875 的关键在于它已经进入实际攻击阶段。对于依赖 ServiceNow AI Platform 的组织，尽快完成资产确认、补丁跟进和访问控制复核，比等待完整攻击细节更重要。VPN 和加密连接可以降低传输与暴露风险，但真正的防护仍需要平台修复、身份治理和持续监控共同完成。