ServiceNow AI Platform 严重代码执行漏洞被利用：跨境企业账号与远程访问需加速排查
据 BleepingComputer 援引威胁情报公司 Defused 的消息，攻击者已开始利用 ServiceNow AI Platform 中一个严重漏洞，编号为 CVE-2026-6875。来源发布时间为 2026 年 7 月 20 日。该漏洞被描述为代码执行类问题，意味着一旦相关实例暴露且处置不及时，攻击者可能借此对平台环境发起更深入的入侵尝试。对于使用 ServiceNow 管理 IT 服务、工单、自动化流程或企业内部账号权限的跨境团队而言，这类事件不只是单点系统风险，也可能影响远程办公、海外员工访问、第三方集成与账号安全链路。
事件要点：ServiceNow AI Platform 漏洞进入被利用阶段
来源显示，CVE-2026-6875 已从“存在漏洞”进一步进入“被攻击者利用”的阶段。相比单纯披露漏洞，被利用意味着互联网上可能已经出现针对相关系统的攻击活动，企业需要把排查优先级提高到应急级别，而不是等待常规维护窗口。
ServiceNow 在许多组织中承担 IT 服务管理、流程审批、自动化编排和账号请求等功能。若平台与身份系统、工单系统、云服务或内部管理后台相连，攻击面可能不仅限于一个应用本身。尤其是跨境企业常见的分布式办公场景中，海外员工、外包团队、供应商账号和远程访问策略往往交织在一起，任何核心流程平台的异常都可能扩大影响范围。
- 已知信息：漏洞编号为 CVE-2026-6875，涉及 ServiceNow AI Platform。
- 风险性质：来源称其为严重代码执行漏洞，并已被攻击者利用。
- 信息来源：相关利用情况由威胁情报公司 Defused 披露，BleepingComputer 进行了报道。
- 建议重点：使用相关平台的企业应尽快核查受影响范围、补丁状态和异常访问记录。
对跨境用户的影响：账号、支付与远程办公链路都需检查
从跨境网络与账号安全角度看，此类漏洞最需要关注的是“平台作为中枢”的连带效应。很多企业会通过 ServiceNow 类平台处理员工入职、权限开通、设备申请、云账号访问、费用审批等事务。如果攻击者能够利用漏洞进入系统，后续可能尝试查看内部流程信息、伪造请求、寻找高权限账号或借助集成接口横向移动。
对涉及海外业务的公司来说，影响还可能延伸到支付与结算流程。例如，若工单平台承载供应商付款审批、财务系统访问申请或支付通道变更流程，相关日志和审批记录就需要重点核查。来源并未说明该漏洞已经导致支付数据泄露，因此不应直接推断损失，但企业应把账号权限、审批流程和集成密钥纳入同一轮风险排查。
远程办公方面，跨国团队通常依赖 VPN、零信任网关、单点登录和云端协作工具。如果 ServiceNow 与身份提供商或访问控制系统存在集成，管理员应检查近期是否出现异常登录、异常工单、异常权限提升或来自不常见地区的访问行为。VPN 可以作为访问控制的一部分，但不能替代漏洞修复、最小权限和日志审计。
建议处置：先确认暴露面，再做账号与集成审计
对于已经部署或使用 ServiceNow AI Platform 的组织，当前更稳妥的做法是将 CVE-2026-6875 视为优先级较高的安全事件处理。管理员应关注官方安全公告和补丁信息，并结合自身部署方式确认是否受影响。若平台对公网开放，或允许海外员工、供应商通过远程方式访问，排查范围应覆盖网络入口、身份认证、API 集成和管理员操作记录。
具体可从几方面入手：首先确认实例版本、补丁状态和官方缓解建议；其次检查近期访问日志，特别是异常来源、失败登录、可疑请求和管理员行为；再次核对高权限账号、自动化账号、API Token、Webhook 等集成凭据是否存在异常使用；最后复盘与支付、采购、账号开通、云资源申请有关的工单流程，避免攻击者利用平台信任关系绕过人工审核。
总体来看，CVE-2026-6875 的关键不在于单个漏洞名称本身，而在于它涉及的是企业流程与账号权限高度集中的平台。对于跨境团队，及时修复、收紧远程访问、审计高权限账号，比事后追查更能降低实际损失。