ServiceNow AI Platformなどに関する3件の脆弱性が、2026年10月29日付で公表されました。最大の深刻度はCVSS v4.0で9.4。管理者権限によるコード実行の問題に加え、パスワードが平文で保存される問題も含まれます。
利用企業が最初に確認したいのは、インスタンスの修正状況と、関連するStoreアプリのバージョンです。 基盤の更新とアプリの更新を個別に確認してください。
この記事では、ServiceNowが登録したCVE情報を基に、対象となるバージョンの目安と、管理者が確認する内容を整理します。確認日：2026年10月31日（日本時間）。
今回公表された3件の脆弱性
| CVE | 対象・問題 | CVSS v4.0 | 攻撃に必要な条件など |
|---|---|---|---|
| CVE-2026-103093 | AI Platformのサンドボックス制限を回避し、ホストOS上で任意のコードを実行されるおそれ | 9.4／Critical | 認証済みでadminロールを持つユーザー |
| CVE-2026-103094 | パスワードがシステムテーブルに平文で残り、閲覧権限のないユーザーに見られるおそれ | 7.1／High | CVSS評価では低い権限と追加の攻撃条件が必要 |
| CVE-2026-6877 | SR – CSM – Task Plan Templatesで、アクセスできないドメインにレコードを作成されるおそれ | 5.3／Medium | 特定のロールを持つ認証済みユーザー |
ServiceNowは、各CVEの公表時点で悪用を認識していないと説明しています。ただし、未修正の環境は早めに対応が必要です。
出典：ServiceNow登録のCVE-2026-103093、CVE-2026-103094、CVE-2026-6877（CIRCLのCVEレコード掲載）。
「パスワードの平文保存」は漏えい確定？
今回公表されたのは、パスワードが意図せず保存され、権限のないユーザーに閲覧される可能性がある脆弱性です。全利用者のパスワード流出が確認されたという発表ではありません。
また、最大CVSS 9.4の問題はadminロールが必要です。この問題を悪用するには、認証済みでadminロールを持つユーザーである必要があります。
自社のServiceNowは対象？確認するバージョン
同じServiceNowでも、リリースファミリー、パッチ、Hot Fixで判定が変わります。同じファミリーでも、PatchやHot Fixの系統ごとに修正版が異なります。下表は、CVEレコードの影響範囲から整理した修正版の目安です。
| CVE | 系統 | CVE情報に記載された修正版の目安 |
|---|---|---|
| CVE-2026-103093 | Yokohama | Patch 13 Hot Fix 4a |
| CVE-2026-103093 | Zurich | Patch 10 Hot Fix 3b、Patch 12、Patch 13 |
| CVE-2026-103093 | Australia | Patch 5 |
| CVE-2026-103094 | Xanadu | Patch 11 Hot Fix 7a |
| CVE-2026-103094 | Yokohama | Patch 13 Hot Fix 4a |
| CVE-2026-103094 | Zurich | Patch 10 Hot Fix 3a、Patch 11 Hot Fix 1、Patch 11m、Patch 12、Patch 13 |
| CVE-2026-103094 | Australia | Patch 2 Hot Fix 3b、Patch 4 Hot Fix 1、Patch 4m、Patch 5 |
| CVE-2026-6877 | Task Plan Templatesアプリ | v3.0 |
CVEレコードでは、各系統で上記の境界より前の版が影響ありと記載されています。ZurichのPatch 11m、AustraliaのPatch 4mはm-branchの記載です。現在の版がどの系統に当たるかを確認し、公式アドバイザリで適用先を照合してください。
例えば、Zurich Patch 10では、平文保存の問題に対する境界はHot Fix 3a、サンドボックス回避の問題はHot Fix 3bと異なります。片方のCVEだけで更新完了を判断しないようにしてください。
出典：上記3件のServiceNow登録CVEレコード。最新の対応案内はServiceNow公式アドバイザリ KB3228994をご確認ください。
クラウド版でも確認は必要？
必要です。CVE-2026-103093について、ServiceNowはホスト型インスタンスへ更新を展開し、パートナーとセルフホストの顧客にも更新を提供したと説明しています。
運用を委託している場合は、委託先に「対応済みですか」と聞くだけでなく、対象インスタンス、適用した版、適用日、3件それぞれの対応状況を確認すると、認識のずれを防げます。
Task Plan Templatesについても、基盤のパッチとは別に、アプリの導入有無と版を確認してください。
管理者が確認する4項目
1．本番・検証環境の版を記録する
インスタンスごとに、リリースファミリー、Patch、Hot Fixを確認します。本番だけでなく、検証・開発環境も確認対象に含めてください。自社で確認できない場合は、運用担当者や保守会社に情報提供を依頼します。
2．3件それぞれの修正を照合する
公式アドバイザリとCVE情報で、現在の系統に対応する修正版を確認します。アプリは導入有無とバージョンを別途記録し、未対応なら更新を計画してください。
3．adminロールの割り当てを見直す
最大CVSS 9.4の問題ではadminロールが攻撃条件です。退職者、利用を終えた委託先、作業期間が終了した一時アカウントに権限が残っていないか確認します。権限整理と修正適用を併せて進めてください。
4．認証情報への影響をサポートに確認する
平文保存の問題については、自社環境に保存された認証情報への影響、残存データへの対応、認証情報の変更が必要かをServiceNowまたは保守窓口に確認してください。影響の有無を確認せず、業務連携用の認証情報を一斉に変更すると、連携処理が止まる可能性があります。
具体的な修復操作は、公式アドバイザリとサポートの指示に従ってください。
ServiceNowは日本でも使われている？
日本国内にも導入事例があります。ServiceNow公式では、横浜市が予算編成や地域子育て支援拠点の予約・入退館手続きに活用している事例を紹介しています。
ただし、導入事例として紹介された組織の被害や、今回の脆弱性の影響が確認されたわけではありません。 自社の製品構成と更新状況で判断する必要があります。
よくある質問
AI機能を使っていなければ対象外ですか？
AI機能を使っていないという理由だけでは、対象外と判断できません。CVEではServiceNow AI Platformのリリースファミリーとパッチで影響範囲が示されています。導入環境の版を照合してください。
一般利用者がパスワードをすぐ変更すべきですか？
一律の変更が必要かは、今回確認したCVE情報からは分かりません。組織の管理者からの案内に従ってください。不審なログインやパスワードの露出が確認された場合は、速やかに管理者へ連絡してください。
更新後は何をメモすればよいですか？
対象インスタンス、適用後の版、適用日、関連アプリの版を記録します。認証情報の調査や変更を行った場合は、その内容も残すと、担当者間で対応状況を共有できます。
