ServiceNow AI基盤に重大欠陥、Fortinet/Ivantiも修正

AI Security Watch 編集部 ・ 読了目安 約3分 ・ 一次情報をAIが要約し、公開前に人間の編集者が確認しています

かんたんに言うと

業務システムのAI機能に、外部から勝手に操作されかねない重大な弱点が見つかり、各社が修正プログラムを配布した。まだ悪用の報告はないが、該当製品を使う会社は早めに更新すべき。

AIセキュリティとの関連: 業務基盤のAI機能そのものが未認証RCEの標的となった事例で、AI導入企業のセキュリティ対応の必要性を示す

何が起きたか

2026年7月15日、ServiceNow、Ivanti、Fortinetの3社がそれぞれ脆弱性の修正パッチを公開したと報じられている。ServiceNowは、自社AIプラットフォームに存在する重大な脆弱性CVE-2026-6875(CVSSスコア9.5)を修正した。認証を経ずに遠隔から任意コード実行(RCE)が可能とされる欠陥で、同社はホスト型インスタンスへセキュリティ更新を適用し、セルフホスト顧客・パートナーにも更新を提供したとしている。Ivantiはデータ集計・可視化ツール「Xtraction」に存在する2件の脆弱性、オープンリダイレクト(CVE-2026-14902、中程度)とパストラバーサル(CVE-2026-14903、高)を修正した。両社とも現時点で悪用は確認されていないとしている。Fortinetは同日11件のアドバイザリを公開し、FortiOSやFortiSIEM、FortiAuthenticatorなど複数製品にわたる計12件の脆弱性を修正した。最も深刻なのはFortiAuthenticatorとFortiSandboxの高深刻度の欠陥で、未認証の遠隔攻撃者が機密情報を取得したり、スキャン用VMのVNCサーバーにアクセスできる可能性があるとされる。

誰に・どう影響するか

大企業にとっては、ServiceNowのAI機能を業務プロセスに深く組み込んでいる場合、未認証RCEという性質上、放置すれば外部から社内システムへ侵入される経路になり得る。IvantiやFortinetの製品も境界防御やネットワーク管理を担うため、修正の遅れは攻撃対象領域の拡大につながる。中小企業では、これらのSaaSやセキュリティ機器を自社で直接運用していない場合でも、委託先のベンダーやMSP(マネージドサービスプロバイダー)が該当製品を利用しているケースがあり、間接的な影響を受ける可能性がある。いずれの規模でも、現時点で悪用の報告はないため過度に慌てる必要はないが、パッチ適用を先延ばしにするリスクは小さくない。

今すぐやるべきアクション

• ServiceNowの利用状況を確認し、CVE-2026-6875に対する更新が適用済みか確認する
• Ivanti Xtractionを使用している場合、CVE-2026-14902/14903の修正版へ更新する
• Fortinet製品(FortiOS、FortiSIEM、FortiAuthenticator等)のバージョンを確認し、該当アドバイザリの修正版を適用する
• 委託先ベンダーやMSPに対し、影響製品の利用状況とパッチ適用状況を確認する
• AI機能を含むSaaS製品については、認証不要のインターフェースが外部に露出していないか点検する

重大度の判定理由

重大度「高」: CVSS9.5の未認証RCEだが悪用未確認、修正版は提供済みのため緊急ではないが影響範囲が広い