ServiceNow révèle une faille d'API sans authentification ayant permis d'interroger les données d'instances clientes

Le 9 juin 2026, ServiceNow — l'éditeur de logiciels d'entreprise de Santa Clara dont la plateforme de gestion de flux soutient les opérations informatiques, RH et de service client de milliers de grandes organisations — a révélé un incident de sécurité au cours duquel des acteurs avaient exploité un point de terminaison REST accessible sans authentification pour interroger les données d'instances clientes hébergées. L'entreprise a appliqué un correctif le 5 juin, mais n'a publié son avis, KB3067321, que plusieurs jours plus tard, ce bulletin étant en outre réservé aux clients connectés au portail de support.

Ce qui s'est passé

Les rapports attribuent le problème à une ressource REST scriptée accessible à l'adresse /api/now/related_list_edit/create, déployée avec son exigence d'authentification désactivée (requires_authentication=false). Cette mauvaise configuration permettait à une requête sans identifiants d'interroger les tables d'instances clientes — atteignant potentiellement des données détenues par plusieurs locataires. L'activité observée contre les instances clientes remonterait à environ les 2-3 juin 2026, avant que ServiceNow ne diffuse sa mise à jour de sécurité aux instances hébergées le 5 juin.

ServiceNow a déclaré estimer que l'activité observée était vraisemblablement liée à des chercheurs en sécurité ou à des recherches menées par des clients dans le cadre de signalements de bug bounty, plutôt qu'à des acteurs malveillants. L'entreprise avait reçu un signalement confidentiel de bug bounty décrivant un problème similaire le 22 avril 2026 — soit environ six semaines avant l'application du correctif.

Impact

• Un point de terminaison d'API sans authentification pouvant servir à interroger les données d'instances clientes hébergées, l'exposition entre locataires étant présentée comme le risque central.
• ServiceNow a corrigé les instances hébergées le 5 juin 2026 et qualifie l'activité de probablement liée à de la recherche plutôt que d'exploitation malveillante confirmée.
• L'avis (KB3067321) est réservé aux utilisateurs connectés au portail de support, ce que plusieurs médias ont relevé comme ayant ralenti l'information des clients sur la faille exploitée.

Pourquoi c'est important

ServiceNow se situe au cœur de l'automatisation administrative des gouvernements et des grandes entreprises ; un accès sans authentification aux données d'instances constitue donc une cible de grande valeur, quel que soit celui qui l'a emprunté en premier. L'épisode rappelle deux défaillances récurrentes de la sécurité SaaS : un seul indicateur d'authentification mal réglé sur une ressource REST peut anéantir l'isolation entre locataires de la plateforme, et les avis réservés aux clients connectés ralentissent précisément ceux qui ont le plus besoin d'évaluer leur exposition. Même lorsqu'un éditeur juge l'activité probablement bénigne, le délai entre le signalement initial du bug bounty et le correctif — environ six semaines — est l'intervalle qui compte pour les défenseurs.