CitrixBleed kwam terug, en de les is ouder dan de bug

Stuur NetScaler een login die het niet kan parsen, en het doet iets ergers dan je weigeren. Het leest een stukje van zijn eigen geheugen terug in een cookie en geeft dat aan je mee. Je hebt je nooit geauthenticeerd. Dat was precies de bedoeling.

Op 30 juni patchte Citrix CVE-2026-8451 [1][2], een geheugenoverlezing vóór authenticatie in NetScaler ADC en Gateway die geconfigureerd staat als SAML-identityprovider. Onderzoekers van @watchtowrcyber vonden het in NetScales eigen SAML-XML-parser. Stuur een AuthnRequest met een niet-afgesloten attribuutwaarde en de parser blijft lezen voorbij het einde van het veld, want hij stopt alleen op een null byte of een >, nooit op de regelafbreking die hem had moeten tegenhouden. Wat er in het aangrenzende geheugen ligt, gaat base64-gecodeerd terug naar de afzender in de responsecookie. Heap-pointers. Bufferinhoud. Sessiegegevens. Fragmenten van live inloggegevens.

Geen voet aan de grond. Geen keten. Je stelt de voordeur een kapotte vraag en hij antwoordt met zijn eigen RAM.

Aanvallers begrepen de waarde binnen een nacht. Lupovis meldde misbruik in het wild binnen 24 uur na de patch, nog voordat het gebrek op CISA's lijst met bekende, misbruikte kwetsbaarheden stond [3][4]. Die snelheid is het signaal. Een bug tegen een SAML IdP is het meteen waard om te wapenen, want de IdP is de machine die bepaalt wie geauthenticeerd is voor alles erachter. Lek zijn geheugen en je grijpt naar de sessietokens waarmee je naar binnen loopt als iemand die de controle al heeft doorstaan.

Dit is de familie van CitrixBleed. Het origineel uit 2023 lekte kilobytes en gaf aanvallers live sessietokens die ze vanaf hun eigen machines afspeelden — zo belandden Boeing, ICBC en DP World in het verhaal. De gateway deed geen enkele moeite, want een geldig sessietoken is een geldig sessietoken, ongeacht in wiens handen het zich bevindt.

Citrix is hier niet uniek onzorgvuldig in. Elk appliance dat SSO afhandelt houdt live geheimen in het geheugen van het proces dat vijandige input verwerkt. Dat is de architectuur, niet de fout. En het betekent dat één geheugenveiligheidsbug ergens in dat proces het vertrouwensanker verandert in een disclosure-orakel. De categorie is deze week niet zwakker geworden. De categorie was altijd al zo gevormd, en aanvallers hebben hem eindelijk op waarde geschat.

Hier is de lijn waarop we staan. Een inloggegeven mag nooit in leesbare vorm in een proces zitten dat naar het internet toe staat. Als het geheim nooit in dat geheugen bestaat, heeft een parserbug niets om te lekken. Een sessietoken moet gebonden zijn aan de machine waarvoor hij is uitgegeven, zodat een los fragment in andermans handen dood gewicht is. En de kluis waarin hij ligt moet er een zijn waarvan de eigenaar de platte tekst er niet uit kan lezen, want een kluis die zichzelf niet kan lezen, kan niet worden misleid om zichzelf aan een vreemde voor te lezen.

Daar is Clavitor op gebouwd. Inloggegevens die niet leven waar code draait. Tokens gebonden aan hun machine. Een kluis die blind is voor zijn eigen inhoud, met een onveranderlijke, off-box audittrail (het soort waar PCI DSS Req 10 voor bestaat) die elke leesactie vastlegt op het moment dat die gebeurt.

Niets hiervan maakt van CVE-2026-8451 een apocalyps, en het is de moeite waard om daar precies over te zijn. De overlezing stopt bij besturingsbytes, dus het sijpelt een paar bytes per verzoek in plaats van de kilobytes van 2023, en alleen als het appliance draait als SAML IdP. Verdedigers hadden het binnen een dag. Het gevaar zat nooit in het aantal bytes van deze ene bug. Het zit in de vorm eronder: leg inloggegevens in het geheugen van de machine die vreemden te woord staat, en elke parserbug voor de komende tien jaar is een inloggegevenslek dat wacht op zijn CVE-nummer. Het aantal bytes verandert. De vorm niet.

Dus patch NetScaler. En ga dan zitten met de vraag die de patch niet raakt: waarom lag er überhaupt iets te stelen in dat geheugen?

Wil je de korte lijst met regels die een inloggegevenssysteem nooit mag breken, dan hebben we die opgeschreven. https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) is de kluis voor inloggegevens, gebouwd voor AI-agents, en tegen hen. clavitor.ai

Bronnen

[1] watchTowr Labs, "CitrixBleed To Infinity And Beyond: Citrix NetScaler Pre-Auth Memory Overread (CVE-2026-8451)," door Aliz Hammond. @watchtowrcyber

[2] Citrix, beveiligingsbulletin voor NetScaler ADC en NetScaler Gateway, CVE-2026-8451 (CVSS 8.8), gepatcht op 30 juni 2026. @citrix

[3] Lupovis, misbruik in het wild van CVE-2026-8451 gedetecteerd binnen 24 uur na openbare disclosure.

[4] CyberScoop en BleepingComputer, rapportage over actief misbruik van het NetScaler SAML-geheugenlek.