CitrixBleed 3（CVE-2026-3055）とは？NetScalerの重大なメモリ漏洩脆弱性を徹底解説

注記： 本記事で扱う脆弱性は、CVE-2026-8451ではなく、CVE-2026-3055（および関連するCVE-2026-4368）です。「CitrixBleed 3」として知られるこの脆弱性について解説します。

CVE-2026-3055 とは

CVE-2026-3055は、Citrix NetScaler ADCおよびNetScaler Gatewayに存在する重大（CVSS 9.3）な未認証メモリオーバーリード脆弱性です 。認証されていないリモート攻撃者が、アプライアンスのメモリからアクティブなセッショントークンや認証情報などの機密データを漏洩させることを可能にします。Citrixは2026年3月23日にアドバイザリCTX696300を通じてこの脆弱性を公開しました 。これは、CVE-2023-4966（「CitrixBleed」）およびCVE-2025-5777（「CitrixBleed 2」）に続く、シリーズ第3弾の「Bleed」脆弱性です 。

技術詳細

根本原因

不十分な入力検証により、バッファ外読み取り（CWE-125）が発生します 。アプライアンスは、SAMLおよびWS-Federation認証リクエスト内の特定のパラメータを適切に検証できません。

攻撃ベクトル

• AssertionConsumerServiceURL フィールドを欠いた不正なHTTPリクエストを /saml/login に送信する
• 空の wctx 値を含む不正なリクエストを /wsfed/passive?wctx に送信する

これらの不正なリクエストによりオーバーリードがトリガーされ、アプライアンスはHTTPレスポンス内にメモリ内容を返します 。

悪用の容易さ

悪用は「非常に簡単」と評されており、認証されていない単一のHTTP GETまたはPOSTリクエストで十分です 。特別なツールや認証、ユーザーの操作は一切必要ありません 。

漏洩するデータ

• アクティブセッショントークン：NSC_AAAC、NSC_TMAS、NSC_TASSクッキー
• LDAPバインド認証情報
• SAML署名鍵
• プロセスメモリ内に存在するその他のシークレット

漏洩したデータは、NSC_TASS レスポンス内にBase64エンコードされて現れます 。

悪用タイムライン

日付	出来事
2026年3月23日	CitrixがアドバイザリCTX696300を公開し、パッチをリリース
2026年3月27日	watchTowr Labsが、既知の脅威アクターIPからの偵察および悪用を確認——公開からわずか4日後
2026年3月30日	複数のセキュリティ企業が、実際の悪用を公式に確認
2026年3月31日頃	CISAがCVE-2026-3055を既知の悪用脆弱性（KEV）カタログに追加
2026年4月〜5月	大規模スキャンが観測され、概念実証（PoC）および悪用コードが広く流通
2026年6月初旬	大規模悪用キャンペーンが新たな波に突入し、未パッチのアプライアンスを標的に

攻撃インフラ

住宅用プロキシネットワーク

攻撃者は数千の住宅用プロキシIPを使用して偵察と悪用を実行し、送信元IPブロッキングを無効化しました 。

既知の脅威アクターIP

watchTowrは、3月27日に悪用を開始した既知の脅威アクターグループに属する特定の送信元IPを報告しました 。

自動スキャン

GreyNoiseやその他の脅威インテリジェンスプラットフォームは、公開から数日以内に脆弱なエンドポイント（/saml/login、/wsfed/passive）への大規模スキャンを検出しました 。

影響

セッションハイジャックとMFAバイパス

攻撃者はメモリからアクティブなセッショントークンを盗み、それらを再利用して任意のアクティブユーザーとして認証することができ、多要素認証（MFA）を完全にバイパスします 。

認証情報の窃取

メモリ内のLDAPバインド認証情報やSAML署名鍵も奪取される可能性があり、ラテラルムーブメントや永続的なアクセスを可能にします 。

IDパスの侵害

この脆弱性はIDプロバイダーパスから情報を漏洩させるため、インシデント後にはそのパスに「触れた」すべてのシークレットのローテーションが必要です 。

影響範囲

ゲートウェイまたはAAA仮想サーバー（インターネットに面したIDプロバイダーの役割）として構成されたすべてのNetScaler ADCおよびNetScaler Gatewayインスタンスが影響を受けます 。

対策推奨事項

1. 即時パッチ適用（インターネット公開アプライアンスは24〜48時間以内）

2026年3月23日にリリースされた修正バージョンを、CitrixアドバイザリCTX696300に従い適用してください：

• NetScaler ADC & Gateway 14.1-66.59 以降
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 以降
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. 全セッショントークンのローテーション

パッチ適用後、既存のNSC_AAAC、NSC_TMAS、NSC_TASSクッキーをすべて無効化し、全ユーザーに再認証を強制してください 。

3. IDパス内の全シークレットのローテーション

露出期間中にアプライアンスのメモリに存在したLDAPバインド認証情報、SAML署名鍵、サービスアカウントパスワード、その他のシークレットをすべてローテーションしてください 。

4. 検出シグネチャの展開

以下を監視してください：

• /saml/login および /wsfed/passive エンドポイントへの異常なリクエスト
• 異常に大きなHTTPレスポンス
• 予期しないセッショントークンの再利用

5. ネットワークセグメンテーション

可能な限りNetScalerアプライアンスを内部ネットワークから隔離し、アプライアンスからのアウトバウンド接続を制限してください 。

6. 一時的な回避策の検討

パッチ適用が遅れる場合は、Gateway上のSAMLおよびWS-Federationエンドポイントを無効化するか、WAF/リバースプロキシルールでアクセスを制限してください。ただし、完全な修正はパッチ適用のみです 。