CitrixBleed est de retour, et la leçon est plus ancienne que le bug

Envoyez à NetScaler une connexion qu'il ne peut pas analyser, et il fait pire que vous rejeter. Il lit un morceau de sa propre mémoire, le place dans un cookie et vous le remet. Vous ne vous êtes jamais authentifié. C'était tout l'intérêt.

Le 30 juin, Citrix a corrigé CVE-2026-8451 [1][2], une lecture excessive de mémoire avant authentification dans NetScaler ADC et Gateway configurés en tant que fournisseur d'identité SAML. Des chercheurs de @watchtowrcyber l'ont découverte dans le propre analyseur XML SAML de NetScaler. Envoyez une AuthnRequest avec une valeur d'attribut non terminée et l'analyseur continue de lire au-delà de la fin du champ, car il ne s'arrête que sur un octet nul ou sur un >, jamais sur le retour à la ligne qui aurait dû l'arrêter. Tout ce qui se trouve dans la mémoire adjacente revient à l'expéditeur, encodé en base64, dans le cookie de réponse. Des pointeurs de heap. Le contenu de tampons. Des données de session. Des fragments d'identifiants encore actifs.

Pas de point d'ancrage. Pas de chaîne d'exploitation. Vous posez à la porte d'entrée une question cassée, et elle vous répond avec sa propre RAM.

Les attaquants en ont compris la valeur du jour au lendemain. Lupovis a signalé une exploitation active dans la nature moins de 24 heures après le correctif, avant même que la faille n'entre dans la liste des failles connues comme exploitées de la CISA [3][4]. Cette rapidité est le signal. Un bug visant un IdP SAML mérite d'être weaponisé immédiatement, car l'IdP est la machine qui décide qui est authentifié auprès de tout ce qui se trouve derrière elle. Faites fuiter sa mémoire et vous vous rendez vers les jetons de session qui vous permettent d'entrer comme quelqu'un qui a déjà passé la vérification.

C'est la famille de CitrixBleed. La version originale de 2023 fuyait des kilo-octets et remettait aux attaquants des jetons de session actifs qu'ils rejouaient depuis leurs propres machines — c'est ainsi que Boeing, ICBC et DP World se sont retrouvés dans l'histoire. La passerelle n'a jamais bronché, car un jeton de session valide reste un jeton de session valide, quelles que soient les mains qui le tiennent.

Citrix n'est pas le seul à faire preuve d'une telle négligence. Tout équipement qui termine une fédération SSO conserve des secrets actifs dans la mémoire du processus qui analyse une entrée hostile. C'est l'architecture, pas l'erreur. Et cela signifie qu'un seul bug de sécurité mémoire, n'importe où dans ce processus, transforme l'ancre de confiance en oracle de divulgation. La catégorie n'a pas faibli cette semaine. La catégorie a toujours eu cette forme, et les attaquants ont fini par lui donner un prix.

Voici la ligne sur laquelle nous nous tenons. Un identifiant ne devrait jamais se trouver sous forme lisible dans un processus exposé à Internet. Si le secret ne se matérialise jamais dans cette mémoire, un bug d'analyse n'a rien à renverser. Un jeton de session devrait être lié à la machine pour laquelle il a été émis, afin qu'un fragment isolé soit un poids mort entre les mains de n'importe qui d'autre. Et le coffre qui le contient devrait être un coffre dont l'opérateur lui-même ne peut pas extraire le texte en clair, car un coffre qui ne peut pas se lire lui-même ne peut pas être incité à se lire pour un inconnu.

C'est sur cela que Clavitor est construit. Des identifiants qui ne vivent pas là où le code s'exécute. Des jetons liés à leur machine. Un coffre aveugle à son propre contenu, avec une piste d'audit immuable et hors machine (le genre pour lequel existe l'exigence 10 du PCI DSS) qui enregistre chaque lecture au moment où elle se produit.

Rien de tout cela ne fait de CVE-2026-8451 une apocalypse, et il est utile d'être précis sur ce point. La lecture excessive s'arrête sur les octets de contrôle, elle ne distille donc que quelques octets par requête au lieu des kilo-octets de 2023, et uniquement lorsque l'équipement fonctionne en tant qu'IdP SAML. Les défenseurs l'ont repérée en un jour. Le danger n'a jamais été le nombre d'octets de ce bug précis. C'est la forme qui se trouve dessous : placez des identifiants dans la mémoire de la machine qui répond aux inconnus, et chaque bug d'analyse des dix prochaines années est une fuite d'identifiants qui attend son numéro de CVE. Le nombre d'octets bouge. La forme, non.

Alors appliquez le correctif sur NetScaler. Puis posez-vous la question que le correctif ne traite pas : pourquoi y avait-il quelque chose à voler dans cette mémoire, à l'origine ?

Si vous voulez la courte liste des règles qu'un système de gestion d'identifiants ne devrait jamais enfreindre, nous l'avons écrite. https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) est le coffre d'identifiants conçu pour les agents d'IA, et contre eux. clavitor.ai

Sources

[1] watchTowr Labs, « CitrixBleed To Infinity And Beyond: Citrix NetScaler Pre-Auth Memory Overread (CVE-2026-8451) », par Aliz Hammond. @watchtowrcyber

[2] Citrix, bulletin de sécurité pour NetScaler ADC et NetScaler Gateway, CVE-2026-8451 (CVSS 8.8), corrigé le 30 juin 2026. @citrix

[3] Lupovis, exploitation de CVE-2026-8451 détectée dans la nature moins de 24 heures après la divulgation publique.

[4] CyberScoop et BleepingComputer, reportant une exploitation active de la faille de divulgation de mémoire SAML de NetScaler.