Faille ServiceNow CVE-2026-6875 : votre entreprise est-elle exposée ?

9,5 sur 10. Ce n'est pas une note de satisfaction : c'est le score de gravité de la faille CVE-2026-6875, qui touche la plateforme d'intelligence artificielle de ServiceNow. L'échelle s'arrête à 10.

Concrètement : un attaquant peut exécuter le code de son choix sur le système, sans compte, sans mot de passe. La société de renseignement sur les menaces Defused Cyber observe déjà des attaques en cours. Un correctif existe. La seule vraie question est donc : est-il appliqué chez vous ?

Cet article répond à cette question sans charabia. Il explique ce que permet la faille, comment savoir si votre entreprise est concernée, et comment installer une routine de correctifs qui ne vous suivra pas jusque sur la plage.

Un bac à sable, ça sert à quoi en informatique ?

En informatique, un bac à sable est un espace clos où un programme s'exécute sous surveillance. Il peut jouer, creuser, construire : tant qu'il reste entre les quatre rebords, il ne touche à rien autour. C'est une précaution ancienne, mais les plateformes d'intelligence artificielle l'ont remise au centre du jeu. Ces outils génèrent et exécutent du code à la volée, parfois à partir d'une simple demande écrite par un utilisateur. Le bac à sable est la garantie que ce code, quoi qu'il fasse, reste dans son coin.

La faille CVE-2026-6875 casse cette garantie. Elle permet à un attaquant de faire enjamber le rebord à son code : au lieu de rester confiné, il s'exécute directement sur le système qui héberge la plateforme. Et le détail qui aggrave tout : aucune authentification n'est nécessaire. Pas besoin de voler un mot de passe ni de piéger un salarié. Le portillon du jardin est ouvert.

C'est cette combinaison, exécution de code arbitraire plus absence d'authentification, qui vaut à la faille sa note de 9,5 sur l'échelle CVSS, le standard de mesure de gravité des vulnérabilités. Et ce n'est pas une menace théorique : Defused Cyber a signalé des exploitations en cours dès juillet 2026, quelques semaines seulement après la publication du correctif.

Comment savoir si votre entreprise est concernée ?

Trois vérifications, dans l'ordre.

1. Utilisez-vous ServiceNow ? La question mérite d'être posée telle quelle, car la réponse n'est pas toujours évidente. ServiceNow sert souvent à gérer les demandes d'assistance informatique, les tickets, parfois des processus de ressources humaines. Il peut aussi être utilisé par votre prestataire informatique pour traiter vos demandes : dans ce cas, la question se déplace chez lui, et elle mérite de lui être posée par écrit.

2. Les fonctions d'intelligence artificielle sont-elles activées ? La faille touche la plateforme d'IA de ServiceNow. Si ces fonctions ont été activées, même à titre d'essai, même par une seule équipe il y a six mois, la surface est exposée.

3. Le correctif est-il appliqué ? ServiceNow a publié un correctif. La réponse doit être documentée : date d'application, version installée. « Je crois que oui » n'est pas une réponse : c'est un pari.

Si les deux premières réponses sont oui et la troisième non, ou « je ne sais pas », il ne s'agit plus de prévention mais de vérification : appliquer le correctif, puis regarder si quelqu'un est déjà passé.

Les 3 questions à poser à votre équipe informatique cette semaine

Vous n'avez pas besoin de comprendre la mécanique d'un bac à sable pour piloter le sujet. Trois questions suffisent, et la façon d'y répondre vous en dira autant que les réponses.

« Sommes-nous exposés à la CVE-2026-6875, et si oui, à quelle date le correctif a-t-il été appliqué ? » Une équipe qui suit son parc répond dans la journée, avec des dates. Un silence de plusieurs jours est une information en soi.

« Avons-nous vérifié les journaux d'activité depuis la publication de la faille ? » Appliquer le correctif ferme la porte. Cela ne dit pas si quelqu'un est entré avant. Les journaux, c'est-à-dire l'historique des actions sur le système, permettent de le savoir.

« Combien de temps mettons-nous, en moyenne, entre la publication d'un correctif critique et son application ? » C'est la question la plus utile des trois, car elle dépasse le cas ServiceNow. Cette faille a été exploitée en quelques semaines. Si votre délai moyen se compte en mois, chaque faille critique ouvre chez vous une fenêtre de plusieurs mois d'exposition.

Ce que coûte un rebord franchi : un exemple chiffré

Prenons une entreprise de services de 80 salariés. Elle utilise ServiceNow pour ses demandes internes, avec les fonctions d'intelligence artificielle activées depuis le printemps. Le correctif attend « la fin des congés ».

Un attaquant exploite la faille, exécute son code, installe un accès discret, puis chiffre les serveurs un vendredi soir. C'est le scénario le plus courant, pas le pire.

La facture, en ordre de grandeur :

• cinq jours d'activité fortement ralentie : pour 80 salariés à 450 euros de production journalière moyenne, environ 180 000 euros de valeur perdue ;
• l'intervention d'une équipe de réponse à incident : comptez 1 200 à 1 800 euros par jour et par intervenant, pendant deux à trois semaines, soit 25 000 à 75 000 euros ;
• la reconstruction des systèmes, la notification à la CNIL si des données personnelles sont touchées, et des clients à rassurer un par un.

En face, le coût du correctif : quelques heures de travail planifié. Le rapport est de l'ordre de un à plusieurs centaines. C'est sans doute pour cela que les attaquants, eux, ne prennent pas de vacances.

La routine d'été pour appliquer les correctifs sans y passer ses congés

L'été est le bon moment pour installer cette routine : l'activité ralentit, les fenêtres de maintenance sont faciles à trouver, et personne ne proteste si un outil redémarre un mardi à 13 heures.

Quatre gestes qui, une fois posés, tournent presque seuls :

1. L'inventaire (2 heures, une fois). Listez les logiciels et services accessibles depuis Internet : messagerie, site, outils métier, plateformes comme ServiceNow. On ne protège bien que ce qu'on a compté.

2. L'abonnement aux alertes (30 minutes, une fois). Le CERT-FR, le centre gouvernemental de veille, publie des alertes sur les failles critiques. Abonnez votre équipe ou votre prestataire aux alertes qui concernent les outils de votre inventaire.

3. Le créneau fixe (1 heure par semaine). Un rendez-vous hebdomadaire, inscrit dans l'agenda, pour appliquer les correctifs en attente. Ce qui est planifié se fait ; ce qui attend « un moment calme » attend toujours.

4. Le remplaçant désigné. Pendant les congés, quelqu'un doit tenir le rôle, en interne ou chez votre prestataire. Une faille critique publiée le 1er août n'attendra pas le 25.

Cette routine ne demande aucune compétence rare : elle demande de la constance. C'est exactement ce qu'un prestataire informatique peut porter pour vous, correctifs compris, si personne en interne n'a le temps de le faire sérieusement.

Regarder qui joue dans votre bac à sable

La faille ServiceNow finira par devenir une vieille histoire : corrigée, documentée, oubliée. La prochaine est déjà en préparation, sur un autre outil, avec un autre numéro. Ce qui comptera alors, c'est votre capacité à répondre vite aux trois questions de cet article : sommes-nous concernés, le correctif est-il appliqué, quelqu'un est-il entré.

Si vous voulez faire le point calmement, sur ServiceNow ou sur votre routine de correctifs en général, nous pouvons en parler 30 minutes, sans engagement : prendre rendez-vous.

L'été passe vite. Autant le passer dans le transat, en sachant que le bac à sable, lui, est surveillé.