ServiceNow : faille API non authentifiee expose les donnees clients d entreprise (juin 2026)

— Chronologie complete de l incident

Le 9 juin 2026, ServiceNow a publie un bulletin de securite reconnaissant qu un endpoint API de sa plateforme ITSM avait ete exploite par des acteurs externes entre le 2 et le 3 juin 2026. L incident concerne specifiquement l endpoint /api/now/related_list_edit/create, un Scripted REST Resource dont le parametre requires_authentication etait configure a false en production. Cette configuration permettait a n importe quel acteur externe d interagir avec l endpoint sans fournir de credentials.

La chronologie revele des dysfonctionnements graves dans le processus de gestion des vulnerabilites chez ServiceNow. Le 22 avril 2026, un chercheur en securite soumet un rapport via le programme de bug bounty de ServiceNow, identifiant l endpoint non authentifie. Pendant 44 jours, aucun correctif n est deploye. Le 2 juin, une adresse IP malveillante (51.159.98.241) commence a exploiter la faille. L exploitation se poursuit jusqu au 3 juin. Ce n est que le 5 juin que ServiceNow applique enfin le correctif — et attend encore 4 jours supplementaires avant d informer publiquement ses clients le 9 juin.

Les sources ayant reporte l incident incluent BleepingComputer, The Hacker News, TechTimes et la plateforme de threat intelligence Rescana. ServiceNow affirme que l activite provenait de chercheurs en securite, mais cette affirmation est contestee par plusieurs analystes qui pointent le comportement agressif de l IP identifiee.

— Anatomie technique : un endpoint oublie en production

ServiceNow permet aux administrateurs de creer des Scripted REST Resources — des endpoints API personnalises qui etendent les fonctionnalites de la plateforme. Chaque resource dispose d un parametre requires_authentication qui determine si l appel API necessite un token d authentification valide. Dans le cas de l endpoint /api/now/related_list_edit/create, ce parametre etait positionne a false, ce qui signifie que la plateforme acceptait les requetes sans aucune verification d identite.

L endpoint en question permet la creation et la manipulation d entrees dans les listes liees (related lists) de ServiceNow. Ces listes liees contiennent des associations entre enregistrements : tickets lies a un incident, utilisateurs associes a un groupe, configurations rattachees a un service. En fonction de la configuration de l instance, un attaquant non authentifie pouvait potentiellement acceder a des tickets ITSM contenant des informations sensibles, des donnees RH, des configurations d infrastructure, ou des documents attaches.

L aspect le plus preoccupant de cette vulnerabilite est sa simplicite. Il ne s agit pas d un zero-day sophistique exploitant une corruption memoire ou un contournement cryptographique. C est une erreur de configuration basique : un booleen positionne a false au lieu de true. Ce type d erreur est detecte par n importe quel audit de securite API standard. Le fait qu elle ait persiste en production pendant au moins 44 jours apres le rapport du bug bounty (et potentiellement bien plus longtemps avant sa decouverte) souleve des questions fondamentales sur les processus de revue de securite chez ServiceNow.

A ce jour, aucun CVE n a ete assigne a cette vulnerabilite. ServiceNow n a pas publie de score CVSS. Cette absence de reference standardisee complique le travail des equipes securite qui doivent reporter l incident dans leurs outils de gestion des vulnerabilites et justifier les actions de remediation aupres de leur direction.

— Pourquoi 44 jours entre le rapport et le patch

Le delai entre la reception du rapport de bug bounty (22 avril 2026) et le deploiement du correctif (5 juin 2026) represente 44 jours calendaires. Pour une vulnerabilite d authentification sur une plateforme ITSM gerant les donnees les plus sensibles de milliers d entreprises, ce delai est inacceptable. A titre de comparaison, les standards de l industrie imposent un correctif en 7 jours pour les vulnerabilites critiques d authentification, et les programmes bug bounty de Google et Microsoft appliquent un delai de disclosure de 90 jours precisement pour forcer les editeurs a reagir.

Plusieurs hypotheses expliquent ce delai. Premierement, la complexite de la plateforme ServiceNow avec ses multiples releases (Family, Xanadu, Washington, Vancouver, Utah, Tokyo et maintenant Australia) rend les correctifs plus longs a tester et deployer. Deuxiemement, l absence de CVE formel et de score CVSS suggere que ServiceNow n a peut-etre pas classe cette vulnerabilite comme critique lors du triage initial. Troisiemement, la culture interne de minimisation des incidents — ServiceNow affirme encore que l activite provenait de chercheurs en securite — peut retarder la prise de decision.

Le fait que le correctif ait ete applique le 5 juin mais que la disclosure publique n ait eu lieu que le 9 juin ajoute un second probleme. Pendant ces 4 jours, les entreprises clientes ne savaient pas qu elles avaient ete potentiellement exposees et ne pouvaient pas lancer leurs propres investigations forensiques. Pour les entreprises soumises a la directive NIS2, ce delai cree un probleme de conformite en cascade : si l incident est confirme, le compte a rebours de notification NIS2 (24 heures pour la notification initiale) ne demarre qu a la connaissance de l incident par le client.

— Impact pour les entreprises francaises utilisatrices de ServiceNow

ServiceNow est deploye dans la majorite des grandes entreprises francaises et administrations. Les secteurs les plus exposes incluent la banque (BNP Paribas, Societe Generale, Credit Agricole, BPCE utilisent ServiceNow pour l ITSM), l assurance (AXA, Allianz France, CNP Assurances), l energie (EDF, Engie, TotalEnergies), les telecommunications (Orange, SFR, Bouygues Telecom) et les administrations centrales (plusieurs ministeres utilisent ServiceNow pour la gestion des incidents).

L incident affecte principalement les clients sur la release platform "Australia". Les entreprises francaises doivent verifier immediatement quelle release platform est active sur leur instance. Si l instance est en mode SaaS (hebergee par ServiceNow), le correctif a ete applique cote plateforme le 5 juin. Cependant, les Scripted REST Resources personnalises crees par les equipes internes ou les integrateurs ne sont pas couverts par ce correctif : chaque endpoint personnalise doit etre audite individuellement pour verifier sa configuration d authentification.

Pour les instances on-premise ou hybrides (encore presentes dans certaines administrations et banques pour des raisons de souverainete), la situation est plus complexe. Ces clients doivent appliquer manuellement le correctif et auditer l ensemble de leurs configurations API. L absence de CVE complique la detection par les scanners de vulnerabilites classiques (Qualys, Tenable, Rapid7), qui ne peuvent pas referencer automatiquement cette faille dans leurs rapports.

— Plan d action immediat pour les RSSI

Etape 1 (immediat, 0-4 heures) : inventaire et triage. Identifier la release platform de votre instance ServiceNow. Lister tous les Scripted REST Resources via System Web Services > Scripted REST APIs. Extraire la valeur du champ requires_authentication pour chaque resource et operation. Prioriser les endpoints exposes sur Internet (via le portail client ou les integrations partenaires).

Etape 2 (4-24 heures) : audit forensique des logs. Analyser les logs d acces API ServiceNow pour la periode du 2 au 9 juin 2026. Rechercher specifiquement l adresse IP 51.159.98.241 et tout pattern d acces non authentifie sur l endpoint /api/now/related_list_edit/create. Verifier les logs de connexion pour detecter des sessions anormales creees pendant la fenetre d exploitation. Extraire la liste des enregistrements accedes ou modifies pendant cette periode.

Etape 3 (24-72 heures) : remediation et durcissement. Positionner requires_authentication=true sur tous les endpoints personnalises qui n ont pas une justification explicite pour l acces anonyme (rares cas : portails publics de soumission de tickets). Implementer des ACL supplementaires sur les tables sensibles. Configurer un WAF ou un rate limiter sur les endpoints API exposes. Activer les alertes SIEM pour tout acces non authentifie residuel.

Etape 4 (72 heures a 2 semaines) : gouvernance et reporting. Si un acces non autorise est confirme, initier la notification NIS2 aupres de l ANSSI dans les 24 heures. Documenter l incident dans le registre des violations RGPD si des donnees personnelles sont impliquees. Notifier la CNIL sous 72 heures si applicable. Preparer un rapport d incident pour la direction generale et le comite des risques.

— Le pattern systemique : trois failles en 8 mois

L incident de juin 2026 n est pas un cas isole. Il s inscrit dans une serie de trois vulnerabilites d authentification chez ServiceNow en seulement 8 mois. Ce pattern recurrent souleve des questions fondamentales sur la maturite des processus de securite internes de l editeur et sur la confiance que les entreprises peuvent accorder a cette plateforme pour la gestion de leurs donnees les plus sensibles.

La tendance est claire : non seulement les incidents se repetent, mais les delais de remediation s allongent. Octobre 2025 : 72 heures de delai, une reaction acceptable. Fevrier 2026 : 5 jours, deja limite pour une vulnerabilite d authentification. Juin 2026 : 44 jours, un delai qui temoigne d un dysfonctionnement structurel dans la gestion des alertes de securite. Si un attaquant etatique avait exploite cette faille avant les chercheurs en securite, les consequences auraient ete catastrophiques pour des milliers d entreprises.

Les entreprises francaises qui dependent de ServiceNow pour leur ITSM doivent prendre des decisions strategiques. La premiere option est de renforcer massivement la supervision de leur instance ServiceNow avec des controles de securite independants (WAF, SIEM dedie, audit periodique des configurations). La seconde est d evaluer des alternatives pour les workloads les plus sensibles. La troisieme, que nous recommandons, est de combiner les deux : maintenir ServiceNow pour les processus standards mais externaliser les workloads critiques vers des solutions dont le track record de securite est plus solide.

Pour approfondir les enjeux de securite des plateformes SaaS critiques, consultez notre page services de securite. Notre analyse de la faille ASP.NET Core d avril 2026 illustre egalement les risques systemiques des dependances logicielles : CVE-2026-40372 analyse et plan de remediation.

— FAQ