O CitrixBleed voltou, e a lição é mais antiga do que o bug

Envie ao NetScaler um login que ele não consegue analisar e ele faz algo pior do que rejeitá-lo. Lê um pedaço da própria memória para dentro de um cookie e entrega-lho. Nunca se autenticou. Era esse o ponto.

A 30 de junho, a Citrix corrigiu a CVE-2026-8451 [1][2], uma leitura excessiva de memória pré-autenticação no NetScaler ADC e Gateway configurado como fornecedor de identidade SAML. Investigadores da @watchtowrcyber encontraram-a no próprio analisador XML SAML do NetScaler. Envie um AuthnRequest com um valor de atributo não terminado e o analisador continua a ler para além do fim do campo, porque pára apenas num byte nulo ou num >, nunca na quebra de linha que o deveria ter parado. O que estiver na memória adjacente volta ao remetente, em base64, no cookie de resposta. Apontadores do heap. Conteúdos de buffers. Dados de sessão. Fragmentos de credenciais ativas.

Sem ponto de entrada. Sem cadeia de exploração. Faz-se à porta da frente uma pergunta mal formada e ela responde com a própria RAM.

Os atacantes perceberam o valor da noite para o dia. A Lupovis registou exploração em ambiente real nas 24 horas seguintes à correção, antes de a falha entrar na lista de vulnerabilidades exploradas conhecidas da CISA [3][4]. Essa rapidez é o indício. Um bug num IdP SAML vale a pena ser armado imediatamente, porque o IdP é a máquina que decide quem está autenticado em tudo o que está atrás dele. Vazando a sua memória, está-se a chegar para os tokens de sessão que permitem entrar como alguém que já passou na verificação.

Isto é da família do CitrixBleed. O original de 2023 vazou kilobytes e deu aos atacantes tokens de sessão ativos que eles repetiram a partir das suas próprias máquinas — foi assim que a Boeing, o ICBC e a DP World acabaram na história. O gateway nunca estremeceu, porque um token de sessão válido é um token de sessão válido, independentemente de quem o tem nas mãos.

A Citrix não é a única descuidada nisto. Qualquer appliance que termine SSO mantém segredos ativos na memória do processo que analisa entrada hostil. Isso é a arquitetura, não o erro. E significa que um único bug de segurança de memória em qualquer ponto desse processo transforma a âncora de confiança num oráculo de divulgação. A categoria não ficou mais fraca esta semana. A categoria sempre teve esta forma, e os atacantes acabaram por lhe atribuir preço.

Eis a linha em que nos mantemos. Uma credencial nunca deve existir em forma legível dentro de um processo exposto à internet. Se o segredo nunca se materializar nessa memória, um bug no analisador não tem nada para derramar. Um token de sessão deve estar ligado à máquina para o qual foi emitido, para que um fragmento perdido seja peso morto nas mãos de qualquer outra pessoa. E o cofre que o guarda deve ser um que o próprio operador não consegue ler em texto claro, porque um cofre que não consegue ler-se a si próprio não pode ser induzido a ler-se a um estranho.

É sobre isto que o Clavitor é construído. Credenciais que não vivem onde o código corre. Tokens ligados à sua máquina. Um cofre cego aos próprios conteúdos, com um registo de auditoria imutável e fora da máquina (daquele tipo para que existe a PCI DSS Req 10) que regista cada leitura no momento em que ela acontece.

Nada disto torna a CVE-2026-8451 um apocalipse, e convém ser preciso quanto a isso. A leitura excessiva pára nos bytes de controlo, pelo que escorre alguns bytes por pedido em vez dos kilobytes de 2023, e apenas quando o appliance funciona como IdP SAML. Os defensores detetaram-no num dia. O perigo nunca foi a contagem de bytes deste bug em particular. É a forma por baixo dele: ponha credenciais na memória da máquina que responde a estranhos, e cada bug de analisador nos próximos dez anos é uma fuga de credenciais à espera do seu número de CVE. O número de bytes move-se. A forma não.

Portanto, corrija o NetScaler. Depois fique com a pergunta que a correção não toca: porque é que estava alguma coisa que valia a pena roubar naquela memória, sequer?

Se quiser a lista curta de regras que um sistema de credenciais nunca deve quebrar, escrevemo-la. https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) é o cofre de credenciais construído para agentes de IA, e contra eles. clavitor.ai

Fontes

[1] watchTowr Labs, "CitrixBleed To Infinity And Beyond: Citrix NetScaler Pre-Auth Memory Overread (CVE-2026-8451)," de Aliz Hammond. @watchtowrcyber

[2] Citrix, boletim de segurança para NetScaler ADC e NetScaler Gateway, CVE-2026-8451 (CVSS 8.8), corrigida a 30 de junho de 2026. @citrix

[3] Lupovis, exploração em ambiente real da CVE-2026-8451 detetada nas 24 horas seguintes à divulgação pública.

[4] CyberScoop e BleepingComputer, reportagem sobre exploração ativa da falha de divulgação de memória SAML do NetScaler.