新たなCitrix Bleed 系脆弱性、公開から24時間以内に悪用開始-CVE-2026-8451|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月06日更新日時: 2026年07月06日

Citrixは2026年6月30日、NetScaler ADCおよびNetScaler Gatewayに影響する新たなメモリ漏えい脆弱性CVE-2026-8451を含む6件のセキュリティ問題を修正しました。攻撃対象領域管理企業watchTowrが発見したこの脆弱性は、2023年に発覚し世界中の企業に深刻な被害をもたらした「CitrixBleed」と同系統の問題で、SAML認証処理を担う独自XMLパーサーの実装不備に起因します。

脅威インテリジェンス企業Lupovisによれば、Citrixの公式アドバイザリ公開とwatchTowrによる検知用ツールの公開からわずか24時間以内に、実際の攻撃者による悪用が観測されています。CISAの既知悪用済み脆弱性(KEV)カタログにはまだ掲載されていない段階での悪用開始であり、パッチ適用の優先順位をKEV登録だけに頼っている組織にとっては見落としのリスクがある状況です。

サマリー

CVE-2026-8451(CVSSスコア8.8)は、NetScalerがSAML IDP(アイデンティティプロバイダー)として設定されている場合に、未認証の攻撃者がリモートからメモリの内容を読み取れてしまう脆弱性。2026年6月30日にCitrixがパッチを公開
原因は、SAML認証リクエストを処理する独自実装のXMLパーサーが、引用符で囲まれていない属性値の終端を正しく判定できず、改行文字が続いた場合にバッファの境界を超えて読み取りを続けてしまうこと
漏えいしたメモリの内容はNSC_TASSという名前のCookieを通じてHTTPレスポンスに含まれて返される。1回のリクエストで漏えいする量はわずか数バイト程度だが、攻撃者はリクエストを送り直すことで断片的に情報を積み上げられる
watchTowrが検知用ツールを公開した直後、ドイツ・フランクフルトを拠点とするIPアドレスから、脅威インテリジェンス企業Lupovisの複数のハニーポットに対して実際の攻撃ペイロードが送り込まれたことが確認された。攻撃は200 OKレスポンスを返した対象にのみペイロードを投下するという的確な標的選定を伴っていた
本稿執筆時点でCVE-2026-8451はCISAのKEVカタログにまだ掲載されていない。過去のCitrixBleed系脆弱性でも、実際の悪用開始からKEV掲載までにタイムラグが生じるパターンが繰り返し確認されている
NetScalerはこの3年間で20件超のKEV登録実績を持ち、その多くがランサムウェア攻撃に悪用されてきた製品。SAML IDPとして運用している組織は、パッチ適用または一時的な機能無効化を最優先で検討する必要がある

項目	内容
CVE番号	CVE-2026-8451
CVSSスコア	8.8(High)
脆弱性の種別	アウト・オブ・バウンズ・リード(境界外読み取り)によるメモリ漏えい
対象製品	NetScaler ADC・NetScaler Gateway
影響を受けるバージョン	14.1(14.1-72.61より前)・13.1(13.1-63.18より前)
前提条件	対象機器がSAML IDPとして設定されていること
認証要否	不要(未認証で悪用可能)
発見者	watchTowr Labs(Aliz Hammond氏ら)
発見・報告日	2026年3月28日(Citrixへ報告)
パッチ公開日	2026年6月30日
悪用確認までの期間	公開から24時間以内(Lupovis観測)
CISA KEVカタログ登録	本稿執筆時点で未登録
漏えい経路	HTTPレスポンスのNSC_TASS Cookie
関連する過去のCVE	CVE-2023-4966(CitrixBleed初代)・CVE-2025-5777・CVE-2025-12101・CVE-2026-3055

1 何が起きたか
2 脆弱性の技術的な仕組み
3 わずか24時間で悪用が始まった経緯
4 KEVカタログ登録の遅れが持つ意味
5 NetScalerというプラットフォームが抱える構造的な課題
6 情報システム部門が今すぐ確認すべき対応
7 出典

何が起きたか

Citrixは2026年6月30日、NetScaler ADCおよびNetScaler Gatewayに影響する6件のセキュリティ問題をまとめて修正するアドバイザリ(CTX696604)を公開しました。この中でもとりわけ注目度が高いのが、境界外読み取りによるメモリ漏えいの脆弱性CVE-2026-8451です。この脆弱性は、対象のNetScaler機器がSAML IDP(シングルサインオンを実現するアイデンティティプロバイダー)として設定されている場合に、認証を経ていない遠隔の攻撃者がメモリの内容を盗み見ることができるというものです。

発見したのは、これまでにもNetScaler製品の脆弱性解析で実績のあるセキュリティ企業watchTowr Labsです。

同社の研究者は2026年3月、別のNetScaler脆弱性(CVE-2026-3055)の再現作業を進めている過程で、今回のCVE-2026-8451を偶然発見したと説明しています。Citrixへの報告は3月28日に行われ、開発期間を経て6月30日にパッチが公開されました。報告から修正まで約3か月を要した計算になりますが、その間も脆弱性の存在は外部の第三者(watchTowr)に知られたまま放置されていたことになります。

パッチ公開とほぼ同時に、watchTowrは技術解析記事と、脆弱性の有無を確認できる検知用ツール(Detection Artifact Generator)をGitHub上で公開しました。この公開から24時間も経たないうちに、脅威インテリジェンス企業Lupovisは自社が運用する複数のハニーポット(おとりシステム)に対して、実際の攻撃ペイロードが送り込まれたことを確認したと報告しています。

脆弱性の技術的な仕組み

今回の脆弱性の根本原因は、NetScalerがSAML認証リクエストを解析する際に、既存の検証済みライブラリではなく独自に実装したXMLパーサーを使用している点にあります。SAML認証は/saml/loginというエンドポイントに対し、クライアントがbase64エンコードされたXML文書(AuthnRequest)を送信することで開始されます。

このカスタムXMLパーサーには、属性値の終端判定に関する不備がありました。属性値が引用符で囲まれている場合は対応する引用符が終端として扱われますが、引用符で囲まれていない属性値の場合、パーサーはヌルバイトか閉じ括弧(>)が現れるまで読み取りを続けてしまい、スペースや改行文字を終端として扱っていませんでした。watchTowrの研究者は、AssertionConsumerServiceURLという属性値をあえて空欄にしたまま終端させず、XML内の属性順序を入れ替えることで、意図的に大きな範囲のメモリオーバーリードを引き起こせることを突き止めました。

より深刻なのは、この読み取られたメモリの内容が、そのまま攻撃者への応答として返されてしまう点です。漏えいしたデータはNSC_TASSという名前のレスポンスCookieに格納されて返却されます。watchTowrの技術検証では、この手法によってプロセスのポインタ情報を含むデータが実際に読み出せることが確認されています。

なお、今回のCVE-2026-8451は、2023年に発覚しBoeing・ICBC・DP Worldなど世界的な企業を巻き込んだ初代CitrixBleed(CVE-2023-4966)ほどの規模でデータを漏えいさせるものではありません。オリジナルのCitrixBleedがキロバイト単位のバイナリデータを漏えいさせられたのに対し、今回の脆弱性はヌルバイトなどの制御文字を読み取った時点で読み取りが終了するため、1回のリクエストで漏えいする量は数バイト程度にとどまります。しかし、リクエストの長さを変化させながら繰り返し送信することで、攻撃者は断片的に情報を積み上げていくことが可能です。漏えいしたデータの中にはプロセスのポインタ情報も含まれ得るため、これを別の脆弱性と組み合わせることで、最終的にリモートコード実行にまで発展するリスクも指摘されています。

わずか24時間で悪用が始まった経緯

Lupovisの最高経営責任者Xavier Bellekens氏によれば、最初の攻撃活動はドイツ・フランクフルトにあるM247 Europe SRLのインフラでホストされたIPアドレス(146.70.139.154)から発信されました。このIPアドレスは、日和見的なスキャンキャンペーンでしばしば観測されるホスティング・VPNプロバイダーのものです。

Lupovisが運用する複数のハニーポットセンサーが、6月30日から7月1日にかけての5時間の間に狙われました。注目すべきは攻撃者の挙動です。ある攻撃者は最初にセンサーAを2回プローブし(いずれも404レスポンス)、続いてセンサーBをプローブ(404レスポンス)した後、センサーCが200 OKレスポンスを返した時点で、直ちに完全なCVE-2026-8451のペイロードを投下しました。Bellekens氏は、攻撃者が正しいエンドポイントかどうかをまず検証し、期待どおりのレスポンスが得られた場合にのみ本格的なペイロードを配信するという挙動を示しており、これは無差別なスキャンではなく標的を選別した能動的な悪用を示唆していると説明しています。

投下されたペイロードの内容は、476個のスペースの後に改行を続けた、属性を持たない空の<samlp:AuthnRequest>タグでした。これはwatchTowrが公開した検知用ツールが生成するオーバーリード検証パターンと完全に一致しており、公開されたPoCがそのまま攻撃に転用されたことを示しています。7月2日(木)には、香港のKoapu Cloudを利用する別の攻撃者による同種のプロービング活動もLupovisによって確認されており、複数の攻撃者が並行して同じ脆弱性を探索している状況がうかがえます。

KEVカタログ登録の遅れが持つ意味

本稿執筆時点で、CVE-2026-8451はCISAの既知悪用済み脆弱性(KEV)カタログにまだ掲載されていません。これは決して軽微な問題ではありません。過去のCitrixBleed系脆弱性を振り返ると、2025年に発覚したCitrixBleed 2(CVE-2025-5777)では、実際の悪用が始まってからKEVカタログへの掲載までにタイムラグが生じたことが知られており、今回も同様のパターンをたどる可能性があります。

パッチ適用の優先順位付けをKEVカタログの登録状況だけに依存している組織は、この種の空白期間において無防備な状態に置かれるリスクがあります。過去にCISAがEOL(サポート終了)機器の排除を命じたBOD 26-02の事例でも触れたとおり、境界機器・エッジ機器は組織にとって最も外部からの攻撃を受けやすい資産であり、ベンダーからのパッチ公開情報を能動的に追いかける体制が不可欠です。

NetScalerというプラットフォームが抱える構造的な課題

NetScalerは過去3年間でCISAのKEVカタログに20件超登録されている実績を持つ製品であり、その中には実際にランサムウェア攻撃で武器化されたものも複数含まれています。Citrix Bleed 2(CVE-2025-5777)ではCISAが連邦政府機関に24時間以内のパッチ適用を命じる異例の対応を取ったこともあり、NetScaler ADC/Gatewayの深刻な脆弱性がDoS攻撃で悪用された事例(CVE-2025-6543)も記憶に新しいところです。

VPN・リモートアクセス・シングルサインオンといった機能を一手に担うアプライアンス製品は、その特性上インターネットに直接公開されるケースが多く、ひとたび深刻な脆弱性が発覚すれば攻撃者にとって極めて価値の高い標的になります。今回のように独自実装のパーサーが原因になっているケースでは、検証済みのライブラリを使わずに自前でパースロジックを組んだ設計判断そのものが、繰り返し脆弱性を生み出す土壌になっていると考えられます。

情報システム部門が今すぐ確認すべき対応

自社のNetScaler ADC・NetScaler Gatewayを運用している組織は、まず対象バージョンかどうかを確認したうえで、修正版(14.1-72.61以降・13.1-63.18以降)への即時アップグレードを実施してください。パッチ適用が直ちに行えない場合は、SAML IDPとしての設定を一時的に無効化することが有効な緩和策になります。SAML IDP機能を実際に利用していない環境であれば、これを機に不要な機能を無効化しておくことも検討に値します。

すでに侵害の兆候がないかを確認する作業も重要です。具体的には、2026年6月30日以降のログの中から/saml/loginへのPOSTリクエストを検索し、SAMLRequestの値をデコードして、属性を持たない<samlp:AuthnRequest>タグに大量の空白文字が続くような不審なパターンが含まれていないかを確認してください。あわせて、NetScalerのログに記録されているNSC_TASS Cookieの値を確認し、通常とは異なるバイナリデータが含まれていないかをチェックすることで、実際に悪用が試みられた痕跡を把握できる可能性があります。

サーバサイドエンジニアとして認証まわりの実装に携わってきた経験からいうと、XML・SAMLのような複雑な仕様を扱うパーサーは、既存の実績あるライブラリを使わずに自前実装する場合、エッジケースの処理漏れが発生しやすい典型的な領域です。今回のケースでも、スペース1文字を終端条件として想定していたところに改行文字という別の空白文字が考慮されていなかったという、非常に細かい実装上の見落としが深刻な脆弱性につながっています。自社で認証・パース処理を独自実装している箇所がないか、この機会に棚卸ししてみる価値があります。