ServiceNow کے تین flaws کا اسکور 10.0—کون سے instances خطرے میں ہیں؟

ServiceNow نے 27 اگست 2026 کی August 2026 CVE Advisory Notification میں AI Platform کی تین خامیوں—CVE-2026-18885، CVE-2026-18886 اور CVE-2026-74820—کے لیے اصلاحات جاری کیں۔ کمپنی نے تینوں کو CVSS 4.0 پر 10.0 اسکور دیا؛ متاثرہ فہرست میں Xanadu، Yokohama، Zurich اور Australia families کے مخصوص پرانے builds شامل ہیں۔

28 اگست کو سامنے آنے والی تفصیلی تکنیکی رپورٹ کے مطابق hosted instances پر security update deploy کی جا چکی ہے، جبکہ partners اور self-hosted customers کو update فراہم کی گئی ہے۔ اسی تاریخ تک ServiceNow کو ان خامیوں کے malicious exploitation کا علم نہیں تھا اور تین 10.0 flaws کے لیے public exploit code بھی نہیں ملا تھا؛ اس لیے فوری سوال compromise کی تصدیق نہیں بلکہ exact build کی applicability اور patch status ہے۔

تین CVE، تین مختلف attack paths

تینوں خامیاں network سے قابلِ رسائی اور low-complexity conditions سے منسلک ہیں۔ ان کے مشترک CVSS vector میں privileges اور user interaction درکار نہیں، مگر ہر CVE الگ component اور الگ نتیجے سے متعلق ہے۔

• CVE-2026-18885 — code injection: GraphQL Composite Data API کی خامی بعض حالات میں unauthenticated attacker کو arbitrary code چلانے اور instance data تک رسائی یا اس میں تبدیلی کا موقع دے سکتی ہے۔
• CVE-2026-18886 — improper access control: system configuration image upload processor کا مسئلہ unauthenticated user کو instance data بنانے یا تبدیل کرنے دے سکتا ہے، جس کا ممکنہ نتیجہ privilege escalation ہے۔
• CVE-2026-74820 — SQL injection: dynamic schema کی ORDER BY handling میں خامی underlying database کے خلاف arbitrary SQL statements چلانے کی اجازت دے سکتی ہے۔

یہ تفصیل exposure کی نوعیت بتاتی ہے، کسی مخصوص instance پر کامیاب حملہ ثابت نہیں کرتی۔ منتظم کے لیے CVE identifier کے ساتھ متعلقہ component درج کرنا مفید ہے، کیونکہ GraphQL API، image upload processor اور database-facing schema handling کے logs اور عارضی controls ایک جیسے نہیں ہوں گے۔

کون سے release builds متاثر ہیں؟

قابلِ scan cutoff family name نہیں بلکہ مکمل patch اور hot-fix string ہے۔ شائع شدہ fixed-build فہرست درج ذیل branch-specific levels دیتی ہے؛ متعلقہ branch میں اس level سے پہلے کا نام زد build متاثرہ دائرے میں آتا ہے۔

• Xanadu: fixed level Patch 11 Hot Fix 7a ہے۔ اس سے پہلے کے درج شدہ Xanadu builds کو update درکار ہے۔
• Yokohama: branch کے مطابق fixed levels Patch 12 Hot Fix 3b اور Patch 13 Hot Fix 4 ہیں۔ صرف “Yokohama” دیکھ کر status طے نہیں کیا جا سکتا۔
• Zurich: متعلقہ maintained branch کے fixed levels Patch 7b Hot Fix 3، Patch 8 Hot Fix 5، Patch 9 Hot Fix 6، Patch 10 Hot Fix 2m برائے m-branch، Patch 10 Hot Fix 3 برائے standard branch، Patch 11 یا Patch 12 ہیں۔
• Australia: branch کے لحاظ سے fixed levels Patch 2 Hot Fix 3، Patch 3 Hot Fix 2، Patch 3m، Patch 4 یا Patch 5 ہیں۔

یہ levels ایک واحد خطی upgrade sequence نہیں ہیں؛ بعض ایک ہی family کی الگ maintained branches ہیں۔ اسی لیے inventory scan میں instance URL، release family، مکمل patch string اور m-branch یا standard branch کی شناخت ایک ساتھ درکار ہے۔

Australia Patch 5 کے معاملے میں CVE records مکمل طور پر یکساں نہیں: CVE-2026-18886 کا record “Any version before Australia Patch 5” کو unknown دکھاتا ہے، جبکہ اسی advisory کے دوسرے متعلقہ records اس range کو affected کہتے ہیں۔ Australia deployments کے لیے مشترک summary کے بجائے ہر CVE کے مقابل exact build کی الگ applicability دیکھنا اس اختلاف کو محفوظ طریقے سے سنبھالتا ہے۔

Hosted اور self-hosted ذمہ داری ایک جیسی نہیں

ServiceNow-hosted instances کے لیے vendor-side update deploy ہونے کی اطلاع موجود ہے، لیکن یہ اطلاع ہر tenant کی مقامی verification کی جگہ نہیں لیتی۔ اگر displayed build، tenant configuration یا change record متوقع fixed level سے مختلف ہو تو tenant-specific status کی تصدیق ضروری ہے۔

Self-hosted اور partner-managed deployments میں update مل جانا اور update نصب ہو جانا دو الگ حالتیں ہیں۔ مقامی مالک یا معاہدے میں نام زد managed-service provider کو مناسب package لگانے، درکار change window مکمل کرنے اور آخر میں installed build دوبارہ پڑھ کر fixed cutoff سے ملانے کی ذمہ داری ادا کرنا ہوگی۔

Externally reachable instances زیادہ فوری توجہ چاہتے ہیں کیونکہ بیان کردہ attack conditions میں authentication یا user interaction لازم نہیں۔ اس کے باوجود network restriction کو مکمل patch کا متبادل نہیں سمجھا جا سکتا: تینوں مسائل مختلف components میں ہیں اور کسی ایک endpoint کو محدود کرنا پورے advisory set کی اصلاح ثابت نہیں کرتا۔

CVSS 10.0 exploitation کی تصدیق نہیں

10.0 زیادہ سے زیادہ تکنیکی severity کو ظاہر کرتا ہے: بیان کردہ شرائط میں confidentiality، integrity اور availability پر اثر بہت شدید ہو سکتا ہے۔ یہ اس بات کا ثبوت نہیں کہ exploit عوامی طور پر دستیاب ہے، کسی attacker نے خامی استعمال کی ہے یا کسی پاکستانی ادارے کا instance compromise ہو چکا ہے۔

Compromise کا تعین الگ شواہد سے ہوگا، مثلاً غیر معمولی GraphQL requests، configuration یا privilege changes، مشکوک image-upload activity اور database queries۔ ان indicators کی غیر موجودگی بھی vulnerable build کو محفوظ نہیں بناتی؛ build applicability اور attack evidence دو الگ سوال ہیں۔

28 اگست 2026 تک تصدیق شدہ صورتِ حال یہ ہے کہ تین CVSS 10.0 fixes دستیاب ہیں، ServiceNow-hosted ماحول کے لیے update deploy ہونے کی اطلاع ہے، اور self-hosted یا partner-managed منتظمین کو اپنے exact builds پر مناسب update کی تنصیب verify کرنی ہے۔ Active exploitation کی تصدیق سامنے نہیں آئی، جبکہ CVE-2026-18886 کے Australia Patch 5 range کی applicability میں موجود غیر یقینی الگ record-level جانچ کا تقاضا کرتی ہے۔