Citrix NetScaler CitrixBleed 脆弱性 CVE-2026-8451：公開から 24h で悪用を確認

CitrixBleed Vulnerability Exploited by Hackers Within 24 Hours of Public Disclosure

2026/07/02 CyberSecurityNews — Citrix NetScaler アプライアンスの新たな CitrixBleed 系脆弱性は、公表から 1日も経たないうちに活発に悪用され始めている。デコイ・インフラを運用する Lupovis が確認したのは、3 つの別個のセンサー展開環境にまたがる連携したスキャンと悪用のキャンペーンである。Citrix がアドバイザリ CTX696604 を公表し、watchTowr Labs が CVE-2026-8451 向け Detection Artifact Generator を公開してから 24 時間以内に、Lupovis のデコイ・インフラが検知したのは、SAML Identity Provider として構成された NetScaler アプライアンスを標的とする組織的なスキャン・キャンペーンである。

この脅威アクターは、IP アドレス 146.70.139[.]154 から活動し、2026年6月30日と 7月1日をまたぐ 5 時間にわたり、3 つの別個の Lupovis センサー展開環境を標的として、最終的には CVE-2026-8451 を悪用するペイロードを送信した。

現時点で、この活動は CISA の Known Exploited Vulnerabilities (KEV) カタログには反映されていない。正式な KEV 登録に対して、実環境での悪用が数週間ほど先行していた、過去の CitrixBleed インシデントに似たパターンを示している。

CitrixBleed 系の脆弱性が悪用される

脆弱性 CVE-2026-8451 は、CitrixBleed ファミリーに属する最新のメモリ漏洩の欠陥であり、NetScaler アプライアンスで繰り返し発生している不備の一種である。この CitrixBleed 系の脆弱性は CVE-2023-4966 で始まる、その後の CVE-2025-5777／CVE-2025-12101／CVE-2026-3055 といった、一連の CVE でも再確認されている。

CitrixBleed 型の脆弱性は、認証不要でセッション・トークンを漏洩させる欠陥であるため、公表されると急速に大規模な悪用へと発展するという、一貫したパターンを示している。2023年の初代 CitrixBleed では、公表から数週間以内に Boeing／ICBC／DP World が攻撃を受けており、この傾向を裏付ける実例となっている。

今回の脆弱性 CVE-2026-8451 は、SAML AuthnRequest ドキュメント向けの NetScaler 独自 XML パーサに存在する。このパーサは、改行が続く引用符なしの属性値を適切に終端できないため、バッファ外読み取りが発生して、その内容が NSC_TASS cookie に漏洩する。

前述のとおり、この脆弱性は認証不要で悪用が可能であり、NetScaler が SAML IdP として構成されていることだけが悪用の条件となる。この脆弱性が影響を及ぼす範囲は、NetScaler ADC／Gateway 14.1-72.61 未満の 14.1 系列および、13.1-63.18 未満の 13.1 系列である。

このスキャン活動の送信元は、ドイツの Frankfurt にある M247 Europe SRL (AS9009) のインフラ上でホストされている、IP アドレス “146.70.139[.]154” であることが判明している。同社は、日和見的なスキャンと関連付けられることが多い、ホスティング／VPN プロバイダーである。

この脅威アクターは、まず Sensor A を 2 回探索し (いずれも 404 を返した) 、続いて Sensor B を探索した (404) 後に、Sensor C が 200 レスポンスを返すと、CVE-2026-8451 の完全な SAML ペイロードを直ちに送信している。このツールの挙動は、2025年の CitrixBleed 2 の際に研究者が観測したものと一致している。その時は、 PoC の詳細が公開された後にスキャンと悪用が急速に拡大し、CISA が連邦機関に対して 24 時間以内のパッチ適用を要請する事態となった。

POST /saml/login に送信された取得済みペイロードをデコードすると、476 個のスペースで埋められ、属性やタグ終端を持たない、<samlp:AuthnRequest タグであることが判明した。これは、watchTowr の Detection Artifact Generator が生成する正確なオーバーリード・パターンであり、XML パーサに隣接メモリまでバッファ外を読み取らせるよう設計されている。

脆弱性 CVE-2026-8451 の悪用は、KEV カタログへの登録に先行している。したがって、KEV を基準としたパッチ優先順位付けのみに依存している組織は、この期間中において、CitrixBleed 2 の時と同様に、KEV 登録前の悪用リスクにさらされていた。CitrixBleed 2 では、悪用が 2025年6月20日頃に始まったが、KEV カタログへの登録は 7月10日まで行われなかった。

また、この脅威アクターは、1 回の一斉スキャンで 3 つのセンサーを標的としている。このパターンは、個別のハニーポットではなく、集約された複数センサーのテレメトリを通じてのみ確認できる。

404 を返したセンサーは探索のみを記録するが、200 を返したセンサーは完全なエクスプロイト・チェーンを捕捉している。これが示すのは、攻撃者のツールがペイロードを送信する前に標的の有効性を検証していることである。

Indicators of Compromise

Indicator	Type	Context
146.70.139[.]154	IPv4	CVE-2026-8451 scanning, M247 Europe SRL exit node (AS9009), Germany
python-requests/2.32.5	User-Agent	Automated scanning tooling
POST /saml/login	Endpoint	CVE-2026-8451 exploit endpoint
<samlp:AuthnRequest + 400+ spaces	Payload pattern	CVE-2026-8451 overread variant

訳者後書：今回の問題は、Citrix NetScaler の独自 XML パーサに存在する、メモリ管理の不備に起因します。具体的には、改行が続く引用符なしの属性値を適切に処理できないため、バッファ外読み取りが発生してしまいます。この脆弱性 CVE-2026-8451 が悪用されると、認証なしで重要なセッション情報が漏えいする危険性があります。さらに、攻撃者が事前に標的の有効性を検証した上で、悪用ペイロードを送信する組織的なスキャン活動も確認されています。このように、公開からわずか 24 時間以内に活発な攻撃へと発展しているため、システムの設定状況を正確に把握し、迅速に対応することが求められています。ご利用のチームは、ご注意ください。よろしければ、CitrixBleed での検索結果も、ご参照ください。