CitrixBleed 3: Nowa krytyczna luka w NetScaler zagraża firmom na całym świecie
Luka CVE 2026 3055 (CVSS 9.3) to krytyczna podatność na odczyt pamięci przed uwierzytelnieniem w Citrix NetScaler ADC i Gateway, umożliwiająca nieuwierzytelnionym atakującym wyciek aktywnych tokenów sesji, danych uwie... Ataki rozpoczęły się już 4 dni po ujawnieniu luki (27 marca 2026), a masowe skanowanie i eksploa...
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Luka CVE 2026 3055 (CVSS 9.3) to krytyczna podatność na odczyt pamięci przed uwierzytelnieniem w Citrix NetScaler ADC i Gateway, umożliwiająca nieuwierzytelnionym atakującym wyciek aktywnych tokenów sesji, danych uwie...
Ataki rozpoczęły się już 4 dni po ujawnieniu luki (27 marca 2026), a masowe skanowanie i eksploatacja trwają nadal, z nową falą ataków na początku czerwca 2026.
Atakujący wykorzystują sieci tysięcy proxy mieszkańcowych, co uniemożliwia blokowanie na podstawie adresów IP.
Natychmiastowe załatanie (wersje 14.1 66.59, 14.1 60.58, 13.1 62.23 lub nowsze) oraz rotacja wszystkich tokenów sesji i sekretów w ścieżce tożsamości są absolutnie konieczne, zwłaszcza dla systemów dostępnych z intern...
Search & fact-check with cited sources for What is CVE-2026-8451, a newly disclosed memory-disclosure vulnerability in Citrix NetScaler applCVE-2026-3055 represents the third major memory disclosure vulnerability in the Citrix NetScaler Bleed series, carrying a CVSS score of 9.3 and enabling unauthenticated session token theft.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is CVE-2026-8451, a newly disclosed memory-disclosure vulnerability in Citrix NetScaler appl. Article summary: **Correction:** The CVE you asked about — **CVE-2026-8451** — does not appear in any current security advisory or disclosure. The vulnerability being actively discussed under the "CitrixBleed 3" name is **CVE-2026-3055**. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, ch
openai.com
Uwaga: Nie istnieje luka o identyfikatorze CVE-2026-8451 w żadnym obecnym biuletynie bezpieczeństwa. Podatność publicznie określana jako „CitrixBleed 3” to CVE-2026-3055 (wraz z towarzyszącą CVE-2026-4368). Ten artykuł dotyczy wyłącznie CVE-2026-3055.
Czym jest CVE-2026-3055?
CVE-2026-3055 to krytyczna (CVSS 9.3) podatność na odczyt pamięci przed uwierzytelnieniem w urządzeniach Citrix NetScaler ADC i NetScaler Gateway . Pozwala ona nieuwierzytelnionemu zdalnemu atakującemu na wyciek wrażliwych danych z pamięci urządzenia, w tym aktywnych tokenów sesji i danych uwierzytelniających. Firma Citrix ujawniła tę lukę 23 marca 2026 r. w biuletynie CTX696300 . Jest to trzecia z serii podobnych podatności „Bleed”, po CVE-2023-4966 („CitrixBleed”) i CVE-2025-5777 („CitrixBleed 2”) .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CitrixBleed 3: Nowa krytyczna luka w NetScaler zagraża firmom na całym świecie"?
Luka CVE 2026 3055 (CVSS 9.3) to krytyczna podatność na odczyt pamięci przed uwierzytelnieniem w Citrix NetScaler ADC i Gateway, umożliwiająca nieuwierzytelnionym atakującym wyciek aktywnych tokenów sesji, danych uwie...
What are the key points to validate first?
Luka CVE 2026 3055 (CVSS 9.3) to krytyczna podatność na odczyt pamięci przed uwierzytelnieniem w Citrix NetScaler ADC i Gateway, umożliwiająca nieuwierzytelnionym atakującym wyciek aktywnych tokenów sesji, danych uwie... Ataki rozpoczęły się już 4 dni po ujawnieniu luki (27 marca 2026), a masowe skanowanie i eksploatacja trwają nadal, z nową falą ataków na początku czerwca 2026.
What should I do next in practice?
Atakujący wykorzystują sieci tysięcy proxy mieszkańcowych, co uniemożliwia blokowanie na podstawie adresów IP.
CitrixBleed 3: Nowa krytyczna luka w NetScaler zagraża firmom na całym świecie
Luka CVE 2026 3055 (CVSS 9.3) to krytyczna podatność na odczyt pamięci przed uwierzytelnieniem w Citrix NetScaler ADC i Gateway, umożliwiająca nieuwierzytelnionym atakującym wyciek aktywnych tokenów sesji, danych uwie... Ataki rozpoczęły się już 4 dni po ujawnieniu luki (27 marca 2026), a masowe skanowanie i eksploa...
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
Luka CVE 2026 3055 (CVSS 9.3) to krytyczna podatność na odczyt pamięci przed uwierzytelnieniem w Citrix NetScaler ADC i Gateway, umożliwiająca nieuwierzytelnionym atakującym wyciek aktywnych tokenów sesji, danych uwie...
Ataki rozpoczęły się już 4 dni po ujawnieniu luki (27 marca 2026), a masowe skanowanie i eksploatacja trwają nadal, z nową falą ataków na początku czerwca 2026.
Atakujący wykorzystują sieci tysięcy proxy mieszkańcowych, co uniemożliwia blokowanie na podstawie adresów IP.
Natychmiastowe załatanie (wersje 14.1 66.59, 14.1 60.58, 13.1 62.23 lub nowsze) oraz rotacja wszystkich tokenów sesji i sekretów w ścieżce tożsamości są absolutnie konieczne, zwłaszcza dla systemów dostępnych z intern...
Search & fact-check with cited sources for What is CVE-2026-8451, a newly disclosed memory-disclosure vulnerability in Citrix NetScaler applCVE-2026-3055 represents the third major memory disclosure vulnerability in the Citrix NetScaler Bleed series, carrying a CVSS score of 9.3 and enabling unauthenticated session token theft.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is CVE-2026-8451, a newly disclosed memory-disclosure vulnerability in Citrix NetScaler appl. Article summary: **Correction:** The CVE you asked about — **CVE-2026-8451** — does not appear in any current security advisory or disclosure. The vulnerability being actively discussed under the "CitrixBleed 3" name is **CVE-2026-3055**. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, ch
openai.com
Uwaga: Nie istnieje luka o identyfikatorze CVE-2026-8451 w żadnym obecnym biuletynie bezpieczeństwa. Podatność publicznie określana jako „CitrixBleed 3” to CVE-2026-3055 (wraz z towarzyszącą CVE-2026-4368). Ten artykuł dotyczy wyłącznie CVE-2026-3055.
Czym jest CVE-2026-3055?
CVE-2026-3055 to krytyczna (CVSS 9.3) podatność na odczyt pamięci przed uwierzytelnieniem w urządzeniach Citrix NetScaler ADC i NetScaler Gateway . Pozwala ona nieuwierzytelnionemu zdalnemu atakującemu na wyciek wrażliwych danych z pamięci urządzenia, w tym aktywnych tokenów sesji i danych uwierzytelniających. Firma Citrix ujawniła tę lukę 23 marca 2026 r. w biuletynie CTX696300 . Jest to trzecia z serii podobnych podatności „Bleed”, po CVE-2023-4966 („CitrixBleed”) i CVE-2025-5777 („CitrixBleed 2”) .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CitrixBleed 3: Nowa krytyczna luka w NetScaler zagraża firmom na całym świecie"?
Luka CVE 2026 3055 (CVSS 9.3) to krytyczna podatność na odczyt pamięci przed uwierzytelnieniem w Citrix NetScaler ADC i Gateway, umożliwiająca nieuwierzytelnionym atakującym wyciek aktywnych tokenów sesji, danych uwie...
What are the key points to validate first?
Luka CVE 2026 3055 (CVSS 9.3) to krytyczna podatność na odczyt pamięci przed uwierzytelnieniem w Citrix NetScaler ADC i Gateway, umożliwiająca nieuwierzytelnionym atakującym wyciek aktywnych tokenów sesji, danych uwie... Ataki rozpoczęły się już 4 dni po ujawnieniu luki (27 marca 2026), a masowe skanowanie i eksploatacja trwają nadal, z nową falą ataków na początku czerwca 2026.
What should I do next in practice?
Atakujący wykorzystują sieci tysięcy proxy mieszkańcowych, co uniemożliwia blokowanie na podstawie adresów IP.
Niewystarczająca walidacja danych wejściowych prowadzi do odczytu pamięci poza dozwolonym zakresem (CWE-125) . Urządzenie nieprawidłowo waliduje określone parametry w żądaniach uwierzytelniania SAML i WS-Federation.
Wektory ataku
Wysłanie nieprawidłowo sformułowanego żądania HTTP do /saml/login bez pola AssertionConsumerServiceURL
Wysłanie nieprawidłowo sformułowanego żądania do /wsfed/passive?wctx z pustą wartością wctx
Te nieprawidłowe żądania wyzwalają odczyt poza zakresem, a urządzenie zwraca zawartość pamięci w odpowiedzi HTTP .
Złożoność eksploatacji
Eksploatacja jest opisywana jako „trywialnie prosta” – wystarczy jedno nieuwierzytelnione żądanie HTTP GET lub POST . Nie są wymagane żadne specjalne narzędzia, uwierzytelnianie ani interakcja użytkownika .
Wyciekające dane pojawiają się zakodowane w base64 wewnątrz odpowiedzi NSC_TASS.
Harmonogram eksploatacji
Data
Wydarzenie
2026-03-23
Citrix publikuje biuletyn CTX696300 i udostępnia łatki
2026-03-27
watchTowr Labs potwierdza aktywne rozpoznanie i eksploatację ze znanych adresów IP grup atakujących – zaledwie 4 dni po ujawnieniu
2026-03-30
Wiele firm zajmujących się bezpieczeństwem publicznie potwierdza aktywną eksploatację w środowisku produkcyjnym
~2026-03-31
CISA dodaje CVE-2026-3055 do swojego katalogu znanych podatności wykorzystywanych (KEV)
Kwiecień–maj 2026
Zaobserwowano masowe skanowanie; kod proof-of-concept i exploity krążą powszechnie
Początek czerwca 2026
Wielkoskalowa kampania eksploatacji wchodzi w nową fazę, atakując na masową skalę niezałatane urządzenia
Infrastruktura ataku
Sieci proxy mieszkańcowych
Atakujący wykorzystali tysiące adresów IP z sieci proxy mieszkańcowych do prowadzenia rozpoznania i eksploatacji, co czyni blokowanie na podstawie IP nieskutecznym .
Znane adresy IP grup atakujących
Firma watchTowr poinformowała o konkretnych adresach IP powiązanych ze znanymi grupami atakujących, które rozpoczęły eksploatację 27 marca .
Zautomatyzowane skanowanie
GreyNoise i inne platformy wywiadu zagrożeń wykryły masowe skanowanie w poszukiwaniu podatnych punktów końcowych (/saml/login, /wsfed/passive) w ciągu kilku dni od ujawnienia .
Wpływ
Przechwytywanie sesji i ominięcie MFA
Atakujący mogą ukraść aktywne tokeny sesji z pamięci i użyć ich ponownie do uwierzytelnienia się jako dowolny aktywny użytkownik, całkowicie omijając uwierzytelnianie wieloskładnikowe .
Kradzież danych uwierzytelniających
Dane uwierzytelniające wiązania LDAP i klucze podpisu SAML w pamięci mogą również zostać wykradzione, umożliwiając ruch boczny i trwały dostęp .
Kompromitacja ścieżki tożsamości
Ponieważ luka wycieka materiały ze ścieżki dostawcy tożsamości, po incydencie wymagana jest rotacja wszystkich sekretów, które miały styczność z tą ścieżką .
Zakres
Wszystkie instancje NetScaler ADC i NetScaler Gateway skonfigurowane jako serwer wirtualny Gateway lub AAA (funkcjonujące jako dostępny z internetu dostawca tożsamości) są zagrożone .
Zalecenia dotyczące łagodzenia skutków
1. Natychmiastowe załatanie (24–48 godzin w przypadku urządzeń dostępnych z internetu)
Zastosuj poprawione wersje udostępnione 23 marca 2026 r., zgodnie z biuletynem Citrix CTX696300:
NetScaler ADC i Gateway 14.1-66.59 lub nowszy
NetScaler ADC i Gateway 14.1-60.58
NetScaler ADC i Gateway 13.1-62.23 lub nowszy
NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262
2. Rotacja wszystkich tokenów sesji
Po załataniu unieważnij wszystkie istniejące ciasteczka NSC_AAAC, NSC_TMAS i NSC_TASS oraz wymuś ponowne uwierzytelnienie dla każdego użytkownika .
3. Rotacja wszystkich sekretów w ścieżce tożsamości
Dane uwierzytelniające wiązania LDAP, klucze podpisu SAML, hasła do kont usługowych i wszelkie inne sekrety, które znajdowały się w pamięci urządzenia w okresie narażenia .
4. Wdrożenie sygnatur wykrywających
Monitoruj:
Nietypowe żądania do punktów końcowych /saml/login i /wsfed/passive
Niezwykle duże odpowiedzi HTTP
Nieoczekiwane ponowne użycie tokenów sesji
5. Segmentacja sieci
Tam, gdzie to możliwe, izoluj urządzenia NetScaler od sieci wewnętrznej i ogranicz łączność wychodzącą z urządzenia .
6. Rozważ tymczasowe obejścia
W przypadku opóźnienia łatania, wyłącz punkty końcowe SAML i WS-Federation na Gateway lub ogranicz do nich dostęp za pomocą reguł WAF/reverse-proxy. Jednak łatanie jest jedynym kompletnym rozwiązaniem .
Niewystarczająca walidacja danych wejściowych prowadzi do odczytu pamięci poza dozwolonym zakresem (CWE-125) . Urządzenie nieprawidłowo waliduje określone parametry w żądaniach uwierzytelniania SAML i WS-Federation.
Wektory ataku
Wysłanie nieprawidłowo sformułowanego żądania HTTP do /saml/login bez pola AssertionConsumerServiceURL
Wysłanie nieprawidłowo sformułowanego żądania do /wsfed/passive?wctx z pustą wartością wctx
Te nieprawidłowe żądania wyzwalają odczyt poza zakresem, a urządzenie zwraca zawartość pamięci w odpowiedzi HTTP .
Złożoność eksploatacji
Eksploatacja jest opisywana jako „trywialnie prosta” – wystarczy jedno nieuwierzytelnione żądanie HTTP GET lub POST . Nie są wymagane żadne specjalne narzędzia, uwierzytelnianie ani interakcja użytkownika .
Wyciekające dane pojawiają się zakodowane w base64 wewnątrz odpowiedzi NSC_TASS.
Harmonogram eksploatacji
Data
Wydarzenie
2026-03-23
Citrix publikuje biuletyn CTX696300 i udostępnia łatki
2026-03-27
watchTowr Labs potwierdza aktywne rozpoznanie i eksploatację ze znanych adresów IP grup atakujących – zaledwie 4 dni po ujawnieniu
2026-03-30
Wiele firm zajmujących się bezpieczeństwem publicznie potwierdza aktywną eksploatację w środowisku produkcyjnym
~2026-03-31
CISA dodaje CVE-2026-3055 do swojego katalogu znanych podatności wykorzystywanych (KEV)
Kwiecień–maj 2026
Zaobserwowano masowe skanowanie; kod proof-of-concept i exploity krążą powszechnie
Początek czerwca 2026
Wielkoskalowa kampania eksploatacji wchodzi w nową fazę, atakując na masową skalę niezałatane urządzenia
Infrastruktura ataku
Sieci proxy mieszkańcowych
Atakujący wykorzystali tysiące adresów IP z sieci proxy mieszkańcowych do prowadzenia rozpoznania i eksploatacji, co czyni blokowanie na podstawie IP nieskutecznym .
Znane adresy IP grup atakujących
Firma watchTowr poinformowała o konkretnych adresach IP powiązanych ze znanymi grupami atakujących, które rozpoczęły eksploatację 27 marca .
Zautomatyzowane skanowanie
GreyNoise i inne platformy wywiadu zagrożeń wykryły masowe skanowanie w poszukiwaniu podatnych punktów końcowych (/saml/login, /wsfed/passive) w ciągu kilku dni od ujawnienia .
Wpływ
Przechwytywanie sesji i ominięcie MFA
Atakujący mogą ukraść aktywne tokeny sesji z pamięci i użyć ich ponownie do uwierzytelnienia się jako dowolny aktywny użytkownik, całkowicie omijając uwierzytelnianie wieloskładnikowe .
Kradzież danych uwierzytelniających
Dane uwierzytelniające wiązania LDAP i klucze podpisu SAML w pamięci mogą również zostać wykradzione, umożliwiając ruch boczny i trwały dostęp .
Kompromitacja ścieżki tożsamości
Ponieważ luka wycieka materiały ze ścieżki dostawcy tożsamości, po incydencie wymagana jest rotacja wszystkich sekretów, które miały styczność z tą ścieżką .
Zakres
Wszystkie instancje NetScaler ADC i NetScaler Gateway skonfigurowane jako serwer wirtualny Gateway lub AAA (funkcjonujące jako dostępny z internetu dostawca tożsamości) są zagrożone .
Zalecenia dotyczące łagodzenia skutków
1. Natychmiastowe załatanie (24–48 godzin w przypadku urządzeń dostępnych z internetu)
Zastosuj poprawione wersje udostępnione 23 marca 2026 r., zgodnie z biuletynem Citrix CTX696300:
NetScaler ADC i Gateway 14.1-66.59 lub nowszy
NetScaler ADC i Gateway 14.1-60.58
NetScaler ADC i Gateway 13.1-62.23 lub nowszy
NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262
2. Rotacja wszystkich tokenów sesji
Po załataniu unieważnij wszystkie istniejące ciasteczka NSC_AAAC, NSC_TMAS i NSC_TASS oraz wymuś ponowne uwierzytelnienie dla każdego użytkownika .
3. Rotacja wszystkich sekretów w ścieżce tożsamości
Dane uwierzytelniające wiązania LDAP, klucze podpisu SAML, hasła do kont usługowych i wszelkie inne sekrety, które znajdowały się w pamięci urządzenia w okresie narażenia .
4. Wdrożenie sygnatur wykrywających
Monitoruj:
Nietypowe żądania do punktów końcowych /saml/login i /wsfed/passive
Niezwykle duże odpowiedzi HTTP
Nieoczekiwane ponowne użycie tokenów sesji
5. Segmentacja sieci
Tam, gdzie to możliwe, izoluj urządzenia NetScaler od sieci wewnętrznej i ogranicz łączność wychodzącą z urządzenia .
6. Rozważ tymczasowe obejścia
W przypadku opóźnienia łatania, wyłącz punkty końcowe SAML i WS-Federation na Gateway lub ogranicz do nich dostęp za pomocą reguł WAF/reverse-proxy. Jednak łatanie jest jedynym kompletnym rozwiązaniem .
