Citrix NetScalerのSAML IdP設定にPre-Auth Memory Overread(CVE-2026-8451)――watchTowrが「CitrixBleed」系譜の再来を報告、同アドバイザリで6件のCVEが公表

2026年6月30日、Cloud Software Group(旧Citrix)がNetScaler ADCおよびNetScaler Gateway向けのセキュリティ情報CTX696604を公表し、SAMLアイデンティティプロバイダ(SAML IdP)設定下で発現するPre-Authのmemory overread脆弱性CVE-2026-8451を含む合計6件のCVEを開示しました。CVE-2026-8451は、認証されていない攻撃者が公開されているNetScaler ADC/GatewayのSAML IdPエンドポイントに細工したSAMLリクエストを送ることで、アプライアンスのプロセスメモリの一部を読み出しうる脆弱性です。CVSS v4.0のベーススコアは8.8(High)、CWE-125(Out-of-Bounds Read)に分類されます。

本件を発見したのはブラウザセキュリティおよび攻撃サーフェス分野の研究で知られるwatchTowrで、リサーチャーのAliz Hammond氏が2026年3月末、同じNetScalerの先行脆弱性CVE-2026-3055(CVSS 9.3)の再現分析中に本件を発見して報告したとされています。CVE-2026-3055はCISAの既知悪用脆弱性(KEV)カタログにも登録されており、CVE-2026-8451はその変種に相当する内容と位置付けられています。記事執筆時点で本件の実環境での悪用は報告されていませんが、CitrixBleedと呼ばれてきたmemory disclosure系の脆弱性は開示後に短期間で武器化された前例が複数あるため、SAML IdP機能を有効化しているNetScaler運用者には早期の対応が求められます。

項目	内容
CVE番号	CVE-2026-8451
Citrix Advisory ID	CTX696604 (2026年6月30日公開)
脆弱性種別	Pre-Auth Memory Overread(insufficient input validation leading to memory overread)
CVSS v4.0	8.8 High (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:H/SC:N/SI:N/SA:N)
CWE	CWE-125(Out-of-Bounds Read)
影響製品	NetScaler ADCおよびNetScaler Gateway(customer-managed版のみ、Citrix-managed cloudサービスとAdaptive AuthenticationはCloud Software Groupが対応済み)
影響バージョン	14.1系(14.1-72.61未満)、13.1系(13.1-63.18未満)、14.1-FIPS(14.1-72.61 FIPS未満)、13.1-FIPS/NDcPP(13.1-37.272未満)
前提条件	NetScaler ADCまたはNetScaler GatewayがSAML IdPとして構成されていること
修正版	14.1-72.61以降、13.1-63.18以降、14.1-FIPS 14.1-72.61 FIPS以降、13.1-FIPS/NDcPP 13.1-37.272以降
発見者	Aliz Hammond氏 (watchTowr)。同アドバイザリでは他にMichael Tucker氏(JPMorgan Chase XORチーム)、Maxim Suhanov氏もクレジットされている
悪用の確認	記事執筆時点で、Citrix公式アドバイザリおよびwatchTowrレポートともに実環境での悪用は言及されていない
同時公開された他CVE	CVE-2026-8452、CVE-2026-8655、CVE-2026-10816、CVE-2026-10817、CVE-2026-13474の5件

「CitrixBleed」系譜の中でのCVE-2026-8451の位置付け
CVE-2026-8451の技術詳細
同時公開された他の5件のCVE
CVE-2026-13474の運用上の注意点
影響範囲と修正版
悪用状況と対処方針
まとめ
一次情報・公式情報
参考情報

「CitrixBleed」系譜の中でのCVE-2026-8451の位置付け

CitrixBleed(CVE-2023-4966)は、2023年に公開されたNetScaler ADC/Gatewayのバッファオーバーリード脆弱性で、認証済みセッションのトークンを含むメモリ内容が漏洩する経路を突かれ、LockBit 3.0を含む複数のランサムウェアオペレーションで初期アクセスに悪用された経緯があります。2025年にはCitrixBleed2、2026年3月にはCVE-2026-3055が続き、いずれもNetScalerのメモリ開示系欠陥として扱われてきました。CVE-2026-3055については開示直後から実環境での悪用が観測され、CISAの既知悪用脆弱性(KEV)カタログに追加されています。

今回のCVE-2026-8451は、watchTowrがCVE-2026-3055の再現分析を進める過程で発見した、同じSAML IdP周辺のコードパスに存在する追加のmemory overread脆弱性です。watchTowrは自社レポートで、CVE-2026-3055の再現分析中に見つかった、同じmemory disclosure系の追加例として位置付けて説明しています。同社は自社ブログの表題を「CitrixBleed To Infinity And Beyond」とし、NetScalerのメモリ開示系脆弱性が反復して表面化している状況への懸念を明示的に表明しています。エッジ配置の認証コンポーネントに同種の欠陥が繰り返し現れているという背景が、本件を単発の脆弱性以上の文脈で読ませる要素となっています。

CVE-2026-8451の技術詳細

NetScalerのカスタムXMLパーサーの欠陥

CVE-2026-8451は、NetScaler ADC/GatewayがSAML IdPとして構成されている場合にのみ発現します。SAML認証はクライアントがBase64エンコードしたXMLドキュメントを/saml/loginエンドポイントに送信することから始まりますが、NetScalerはこのXMLを一般的な検証済みXMLライブラリではなく独自実装のカスタムXMLパーサーで処理します。このカスタム属性パーサーには、引用符で囲まれていない属性値(unquoted attribute values)に対して、null byte、閉じの>記号、対応するクオート以外を終端として扱わないという欠陥が含まれていました。空白や改行は終端とはみなされず、パーサーはリクエストバッファの意図された範囲を越えて隣接メモリを読み続ける可能性があります。

読み出された隣接メモリの内容は、NetScalerが応答として返すNSC_TASS cookieに含まれる形でクライアント側へ渡されます。攻撃者は事前認証なしに/saml/loginへリクエストを送るだけで、応答cookie経由でアプライアンスのプロセスアドレス空間の断片を取得できる構造です。

攻撃を成立させるSAMLリクエストの条件

watchTowrの技術レポートによれば、CVE-2026-8451を成立させる/saml/loginリクエストは以下の条件を満たす必要があります。リクエスト全体を未終端のままにしただけではoverreadは発生しません。

SAML AuthnRequestの構造：<samlp:AuthnRequest>と対応する</samlp:AuthnRequest>のペアを含む必要があります。単に未終端のXMLを送っただけでは想定のパースパスに進みません。
Issuer要素：有効な<saml:Issuer>要素を含む必要があります。watchTowrのPoCでは<saml:Issuer>watchtowr</saml:Issuer>が使用されています。
属性の未終端化：AssertionConsumerServiceURL=またはID属性のいずれかが、改行で終端されているか、あるいは全く終端されていない状態である必要があります。この属性値の未終端化がパーサーを想定範囲外の読み込みへ進ませる引き金になります。

これらの条件を満たしたSAMLリクエストをNetScalerに送信すると、応答のNSC_TASS cookieに、本来なら属性値として送られてきていないデータが混ざり込む形で返却されます。watchTowrのPoCスクリプトwatchTowr-vs-Netscaler-CVE-2026-8451.pyでは、リクエスト長を微調整することで、応答ごとにアプライアンスから数バイト分のメモリ内容を安定的に取得できたと報告されています。

CVE-2026-8451の漏洩量の性質と挙動

watchTowrのレポートでは、”original CVE-2026-0050″と表記される先行脆弱性においてはキロバイト級のバイナリデータが漏洩し得たとされているのに対し、CVE-2026-8451ではNULLバイトや>記号などの制御文字を読み込んだ時点でout-of-bounds readが停止する挙動が確認されています。このため一度のリクエストで取得できる漏洩量は数バイト程度に限られる一方、リクエスト長を変えて何度も試行することで、狙ったメモリ領域の断片を継続的に引き出せる構造です。

漏洩する内容には、プロセスポインタや内部プロセスメモリ構造、セッションデータの断片、認証トークンや認証情報などが含まれる可能性が指摘されています。プロセスポインタが取得できればアドレス空間配置ランダム化(ASLR)の推定に活用され、他の脆弱性と組み合わせてリモートコード実行に発展する足場になり得ます。加えて、同じ/saml/loginエンドポイントに最小限に不正な形のリクエストを送るだけでアプライアンスがクラッシュする挙動も観測されており、CVE-2026-8451はサービス拒否(DoS)としても悪用しうるとされています。

同時公開された他の5件のCVE

CTX696604では、CVE-2026-8451と併せて次の5件のCVEも公表されました。いずれも前提条件が個別に定義されており、NetScalerの設定内容によって影響有無が変わります。

CVE	種別	CVSS v4.0	CWE	前提条件
CVE-2026-8452	Memory overflow(不定挙動およびDoS)	8.8 High	CWE-119	Gateway(SSL VPN、ICA Proxy、CVPN、RDP Proxy)またはAAA仮想サーバとして構成
CVE-2026-8655	Memory overflow(複数、不定挙動およびDoS)	8.8 High	CWE-119	Oracle型LB、DNS Proxy、またはDNS再帰リゾルバとして構成
CVE-2026-10816	認証なしの任意ファイル読み取り	7.1 High	CWE-73	NSIP、Cluster Management IP、または管理アクセス有効なSNIPへの到達性
CVE-2026-10817	Memory overread	6.9 Medium	CWE-125	TCPプロファイルでTCP TimeStampが有効、かつLB/CS/VPN仮想サーバまたはサービスに関連付け
CVE-2026-13474	不正なHTTP/2リクエストによるDoS	8.7 High	CWE-401	HTTPプロファイルでHTTP/2が有効、かつLB/CS/VPN仮想サーバまたはサービスに関連付け

Citrix公式アドバイザリは、各CVEについて対象アプライアンスが前提条件に該当するかを確認するため、設定内で確認すべき文字列パターンを提示しています。CVE-2026-8451であれば、以下のような文字列がNetScaler設定内に含まれるかを確認することで、SAML IdPプロファイルの構成有無を判断できます。

add authentication samlIdPProfile .*

同様に、CVE-2026-8452についてはadd authentication vserver .*およびadd vpn vserver .*、CVE-2026-8655についてはadd lb vserver.*ORACLE.*やDNS関連の構成文字列など、それぞれ具体的な確認パターンが示されています。運用者は該当設定の有無を機械的に確認したうえで、影響を受ける機能を利用しているかを判断できます。

CVE-2026-13474の運用上の注意点

CVE-2026-13474については、修正版へのアップグレードだけでは対応が完了しない点に注意が必要です。Citrixが公表した情報では、HTTP/2のsmall-window stalled streamsのタイムアウトを制御する新規パラメータHttp2SmallWndTimeoutが導入されており、この設定がアプライアンスの構成によって異なる扱いになります。

HTTP Strict Profiles利用時：デフォルト値が30秒に設定され、アップグレード直後から修正の効果が有効になります。
HTTP Strict Profiles非利用時：デフォルト値が0のままとなり、アップグレードしただけでは対応が完了しません。運用者が明示的にHttp2SmallWndTimeoutを30秒に設定する必要があります。

Citrix公式アドバイザリでは、以下の設定コマンドで対応するよう案内されています。

set ns httpProfile <profile_name> -http2SmallWndTimeout <value_in_seconds>

このHttp2SmallWndTimeoutパラメータは修正を含むファームウェアビルドで新規に追加された項目のため、旧バージョンには存在しません。アップグレードのみで対応完了とみなさず、HTTP/2を有効化しているHTTPプロファイルとその参照仮想サーバをあらためて棚卸ししたうえで、明示的な設定変更まで踏み込む運用が必要になります。

影響範囲と修正版

今回のアドバイザリの対象はcustomer-managedのNetScaler ADCおよびNetScaler Gatewayに限定されます。Citrix-managedのクラウドサービスおよびCitrix-managed Adaptive Authenticationについては、Cloud Software Groupが必要なソフトウェア更新を適用済みと明記されています。一方、Secure Private Access HybridでNetScalerインスタンスを利用している構成も影響を受けるため、該当インスタンスを推奨ビルドへ更新する必要があります。

影響を受けるバージョンと修正版の対応関係は以下の通りです。

NetScaler ADCおよびNetScaler Gateway 14.1系：14.1-72.61未満が影響対象、14.1-72.61以降で修正
NetScaler ADCおよびNetScaler Gateway 13.1系：13.1-63.18未満が影響対象、13.1-63.18以降で修正
NetScaler ADC FIPS 14.1系：14.1-72.61 FIPS未満が影響対象、14.1-72.61 FIPS以降で修正
NetScaler ADC 13.1-FIPSおよび13.1-NDcPP：13.1-37.272未満が影響対象、13.1-37.272以降で修正

悪用状況と対処方針

記事執筆時点で、Citrix公式アドバイザリおよびwatchTowrの技術レポートともに、CVE-2026-8451に対する実環境での悪用は言及されていません。CISA KEVカタログにも本件は追加されていない状態です。ただし、同じNetScaler SAML IdPコードパスに存在したCVE-2026-3055は開示から数日でwatchTowrのハニーポットで攻撃活動が観測されCISA KEVに追加された経緯があり、CVE-2026-8451についても類似の展開が起きる可能性は否定できません。

実務上の対応としては、以下の優先順位で作業を進めるのが妥当です。

SAML IdP設定の棚卸し：CVE-2026-8451の前提条件に該当するadd authentication samlIdPProfileを含む設定が存在するかを、対象NetScalerで確認する。該当する場合はインターネット公開範囲を再確認し、可能であれば信頼できるネットワークに一時的にアクセスを制限する。
修正版へのアップグレード：該当バージョンから修正版ラインへ計画的にアップグレードする。FIPSおよびNDcPPビルドは別系統のため、環境ごとの対応版を取り違えないよう注意が必要です。
CVE-2026-13474の追加設定：HTTP/2を有効化している場合、修正版へのアップグレード後にHttp2SmallWndTimeoutの値をあらためて確認し、必要に応じて30秒への明示的な設定を行う。
暫定対策の検討：直ちにアップグレードが困難な場合は、SAML IdP機能の利用有無や公開範囲を確認し、可能な範囲で信頼できる接続元に制限するなどの一時的なリスク低減策を検討します。ただし、SAML IdPの到達制限は認証フローに影響する場合があるため、恒久対策は修正版への更新とみるのが基本です。
ログ監視の強化：/saml/loginへの異常なリクエストパターン、およびnsppeプロセスの異常終了・クラッシュログを監視対象に加える。CitrixBleed系列の過去の悪用パターンから、初期偵察段階でこれらの兆候が観測される可能性があります。

まとめ

CVE-2026-8451は、CitrixBleed系譜の中で見れば、CVE-2026-3055と同じSAML IdP周辺で見つかったmemory overreadの追加例にあたり、NetScaler ADC/GatewayのSAML IdPコンポーネントに実装されたカスタムXMLパーサーが構造的にメモリ開示系欠陥を反復して抱えている実態を浮き彫りにする一件です。一度に漏洩するのは数バイト程度と限定的ですが、プロセスポインタやセッション断片が含まれる可能性がある以上、他脆弱性との連鎖や継続的なリクエストによる情報収集の起点になり得ます。

実環境での悪用は本記事執筆時点で報告されていないものの、CitrixBleedおよびCVE-2026-3055が示した「開示後短期間での武器化」の前例を考えると、SAML IdPを有効化しているNetScaler運用者にとっては早期対応が求められる状況です。加えて、同アドバイザリで公表されたCVE-2026-13474にはアップグレード後の追加設定が必要という運用上の重要な注意点があり、単なるバージョン更新で完了とせず、HTTPプロファイル側の設定確認まで含めた対応が求められます。

一次情報・公式情報

参考情報

slug: citrix-netscaler-cve-2026-8451-memory-overread