Um novo incidente de segurança na ServiceNow colocou equipes de TI e profissionais de segurança em alerta após a descoberta de uma falha que permitia acesso indevido a informações por meio de um endpoint de API REST configurado incorretamente. A empresa confirmou o problema e informou que uma correção foi aplicada em 5 de junho de 2026, após a identificação de atividades anômalas relacionadas à vulnerabilidade.
Embora a falha tenha sido corrigida, o caso levanta preocupações importantes sobre a exposição de dados corporativos armazenados em plataformas de gerenciamento de serviços. Organizações que utilizam a ServiceNow para processos de suporte, gerenciamento de incidentes e operações de TI devem avaliar cuidadosamente se suas instâncias foram impactadas.
Neste artigo, analisamos os detalhes técnicos da falha, os possíveis riscos para clientes e as medidas recomendadas para administradores de sistemas, equipes de segurança e profissionais responsáveis pela proteção de ambientes corporativos.
O que aconteceu na ServiceNow?
A ServiceNow é uma das principais plataformas corporativas do mercado para gerenciamento de serviços de TI, automação de fluxos de trabalho e operações empresariais. Utilizada por organizações de diversos setores, ela concentra informações críticas relacionadas a infraestrutura, suporte técnico, usuários e integrações corporativas.
O incidente veio à tona após a identificação de um endpoint da API que poderia ser acessado sem os controles adequados de autenticação. Em ambientes corporativos, uma falha desse tipo pode permitir que informações internas sejam visualizadas ou manipuladas por agentes não autorizados.
Embora a empresa tenha agido rapidamente para corrigir o problema, o episódio demonstra como configurações incorretas em APIs continuam sendo uma das principais causas de exposição de dados em ambientes modernos de nuvem.
Entendendo a falha na API da ServiceNow
O problema estava relacionado ao endpoint:
/api/now/related_list_edit/create
De acordo com as informações divulgadas sobre o incidente, o endpoint apresentava uma configuração associada ao parâmetro requires_authentication=false, o que eliminava uma camada essencial de proteção.
Em condições normais, APIs que manipulam dados corporativos devem exigir autenticação e validação de permissões antes de processar qualquer solicitação. Quando esse controle falha ou é desabilitado, abre-se uma oportunidade para que terceiros tentem acessar informações que deveriam permanecer restritas.
O caso reforça um desafio crescente para empresas que dependem de integrações entre sistemas internos, aplicações em nuvem e serviços externos. Quanto maior o número de APIs expostas, maior também a necessidade de auditorias constantes e validações de segurança.
O perigo dos dados ocultos em chamados de suporte
O aspecto mais preocupante desse incidente não está apenas no acesso ao endpoint vulnerável, mas no tipo de informação que costuma estar armazenado em plataformas de suporte corporativo.
Na rotina das equipes de TI, é comum que chamados contenham informações técnicas detalhadas para facilitar diagnósticos e correções. Muitas vezes, esses registros incluem dados que podem ser extremamente valiosos para um invasor.
Entre os exemplos mais comuns estão:
- Tokens de autenticação
- Chaves de API
- Credenciais temporárias
- Endereços IP internos
- Logs de sistemas
- Configurações de servidores
- Informações de ambientes em nuvem
- Dados de integração entre aplicações
Mesmo quando essas informações não aparecem diretamente em campos visíveis, elas podem estar presentes em anexos, capturas de tela, arquivos de log ou comentários adicionados durante o atendimento.
Para atacantes, esse tipo de material pode servir como ponto de partida para campanhas mais sofisticadas, incluindo roubo de credenciais, movimentação lateral na rede e comprometimento de outros sistemas corporativos.
Versões afetadas e indicadores de comprometimento
As informações divulgadas até o momento indicam que o problema afetou principalmente uma versão utilizada na região da Austrália, além de determinadas instâncias mais antigas que passaram por customizações específicas ao longo do tempo.
Mesmo para organizações que já aplicaram as correções disponibilizadas pela ServiceNow, é importante considerar a possibilidade de exposição anterior à implementação do patch.
Por esse motivo, a análise de logs e a investigação de atividades suspeitas continuam sendo etapas fundamentais do processo de resposta ao incidente.
Outro elemento que chamou atenção da comunidade técnica foi a divulgação de um possível Indicador de Comprometimento (IoC) relatado por administradores em discussões públicas.
O endereço IP citado foi:
51.159.98.241
O indicador foi compartilhado em fóruns e debates técnicos envolvendo profissionais que monitoravam tentativas de acesso relacionadas ao incidente.
É importante destacar que a simples presença desse IP nos registros não confirma, por si só, uma invasão. Entretanto, sua identificação pode auxiliar equipes de segurança durante processos de correlação de eventos e investigação de atividades suspeitas.
Ao revisar registros históricos, os administradores devem procurar por:
- Requisições incomuns para APIs da plataforma.
- Consultas realizadas fora dos padrões normais.
- Acessos em horários atípicos.
- Exportações inesperadas de dados.
- Alterações não autorizadas em chamados.
- Eventos relacionados ao endpoint vulnerável.
A combinação desses elementos costuma fornecer uma visão mais precisa sobre possíveis tentativas de exploração.
Por que o caso preocupa equipes de segurança?
Nos últimos anos, APIs se tornaram componentes centrais da infraestrutura digital moderna. Elas conectam aplicações, automatizam processos e permitem a integração entre plataformas corporativas.
Ao mesmo tempo, também passaram a representar uma das superfícies de ataque mais exploradas por criminosos digitais.
Diferentemente de vulnerabilidades tradicionais em sistemas operacionais ou aplicações web, falhas em APIs podem permanecer ocultas por longos períodos, especialmente quando envolvem configurações incorretas em permissões ou autenticação.
O incidente da ServiceNow demonstra como um único parâmetro mal configurado pode criar riscos relevantes para organizações que dependem dessas integrações para suas operações diárias.
Por esse motivo, especialistas recomendam que empresas adotem estratégias permanentes de proteção para APIs, incluindo:
- Inventário completo de interfaces expostas.
- Validação contínua de autenticação e autorização.
- Monitoramento de tráfego anômalo.
- Testes regulares de segurança.
- Princípio do menor privilégio.
- Revisões periódicas de configurações e integrações.
O que os administradores de sistemas devem fazer agora
Independentemente de haver evidências imediatas de comprometimento, a recomendação é tratar o incidente com prioridade.
As principais ações recomendadas incluem:
- Auditar logs de requisições da API.
- Verificar acessos ao endpoint afetado.
- Ativar ou revisar o registro detalhado de eventos.
- Rotacionar tokens e credenciais potencialmente expostos.
- Analisar anexos e documentos presentes em chamados sensíveis.
- Validar permissões de usuários e integrações externas.
- Investigar indicadores de comprometimento conhecidos.
- Confirmar a aplicação de todas as correções disponibilizadas pela ServiceNow.
Além disso, equipes de SecOps, resposta a incidentes e governança de TI devem ser envolvidas para garantir uma avaliação completa dos riscos e possíveis impactos.
Um alerta para a segurança das APIs corporativas
O incidente na ServiceNow serve como mais um lembrete de que a segurança das APIs deve ocupar posição central nas estratégias de proteção corporativa.
À medida que organizações ampliam o uso de serviços em nuvem, automação e integrações entre plataformas, falhas aparentemente simples podem gerar consequências significativas para a confidencialidade das informações empresariais.
Mesmo após a correção do problema, o momento é oportuno para revisar controles de acesso, analisar registros históricos e reforçar políticas de segurança relacionadas ao uso de APIs.
Para empresas que utilizam a ServiceNow em processos críticos, uma investigação preventiva pode ser a diferença entre um incidente contido e uma exposição de dados com impactos muito mais amplos.
Se você administra ambientes ServiceNow ou já enfrentou desafios relacionados à segurança de APIs corporativas, compartilhe sua experiência nos comentários. A troca de conhecimento é uma das melhores formas de fortalecer a defesa coletiva contra ameaças cada vez mais sofisticadas.
