Vulnerabilidade crítica no Citrix NetScaler é explorada logo após divulgação pública

A CVE-2026-8451 não é só mais uma falha no Citrix NetScaler, é um caso clássico de 'exploitation before patching', com padrão repetido em pelo menos quatro produtos críticos nos últimos três meses. O bug está no parser XML do SAML IDP, que falha ao processar atributos XML sem aspas seguidos por nova linha. Isso gera leitura fora dos limites (out-of-bounds read), e o conteúdo da memória vazado vai direto para o cookie NSC_TASS na resposta HTTP. Não exige autenticação, mas depende de configuração específica: só afeta aparelhos atuando como Identity Provider SAML. É um cenário comum em ambientes federados de grandes empresas e órgãos públicos brasileiros, justamente onde a exposição à internet é frequente e a atualização lenta.

O ataque real observado pela Lupovis usa um payload mínimo: um <samlp:AuthnRequest> vazio, com 476 espaços e uma quebra de linha. Esse formato é idêntico ao artefato de detecção publicado pela watchTowr, ou seja, os atacantes não estão improvisando. Estão usando ferramentas prontas, com scripts automatizados, e conseguem entregar payloads em segundos após identificar uma resposta 200 OK no endpoint /saml/login. Isso não é teste: é operação em escala.

Em março, a CEVIU já alertava sobre uma falha crítica no NetScaler (CVSS 9.3) com risco semelhante: leitura de memória e potencial sequestro de sessões em implantações SAML expostas SecurityWeek. Mas aquela era uma vulnerabilidade distinta, ainda sem exploração confirmada em ambiente real. Agora, a CVE-2026-8451 mostra evolução técnica clara: o vetor é mais preciso (parser XML + newline), o método de extração é padronizado (cookie NSC_TASS), e a exploração começou em menos de 24 horas, igual ao que vimos com o Cisco CUCM (CVE-2026-20230) e a GlobalProtect da Palo Alto. A diferença? Desta vez, o ataque já foi registrado em múltiplos IPs distintos, incluindo infraestrutura de nuvem em Hong Kong, indicando disseminação rápida entre grupos.

Empresas brasileiras que usam NetScaler como gateway SAML para acesso remoto, especialmente bancos, operadoras e órgãos públicos, estão sob fogo cruzado. A falha permite extrair chaves criptográficas, tokens de sessão e até credenciais armazenadas na memória do appliance. E não há workaround seguro além de aplicar o patch ou desabilitar o SAML IDP. Monitorar logs por tráfego em /saml/login e inspecionar valores do cookie NSC_TASS é essencial, mas já é reação tardia: o dano pode estar feito antes mesmo da detecção. Isso reforça um padrão perigoso, a janela entre divulgação e exploração caiu de dias para horas, e equipes de segurança precisam operar com SLA de correção em menos de 12h para dispositivos críticos.