Una nueva vulnerabilidad de la clase CitrixBleed en los dispositivos Citrix NetScaler comenzó a ser explotada activamente menos de un día después de su divulgación pública. El operador de infraestructura de señuelos, Lupovis, confirmó una campaña coordinada de escaneo y explotación detectada en tres despliegues de sensores distintos, ocurriendo esto dentro de las 24 horas posteriores a la publicación del aviso CTX696604 y el generador de artefactos de detección para el CVE-2026-8451.

Una vulnerabilidad de clase CitrixBleed recientemente revelada en los dispositivos Citrix NetScaler comenzó a ser explotada activamente menos de un día después de su divulgación pública, y el operador de infraestructura de señuelos Lupovis confirmó una campaña coordinada de escaneo y explotación a través de tres despliegues de sensores independientes.

A las 24 horas de que Citrix publicara la advertencia CTX696604 y watchTowr Labs lanzara un Generador de Artefactos de Detección para la CVE-2026-8451, la infraestructura de señuelos de Lupovis detectó una campaña de escaneo coordinada dirigida a dispositivos NetScaler configurados como Proveedores de Identidad SAML.

Un actor de amenazas que operaba desde la IP 146.70.139[.]154 atacó tres despliegues de sensores de Lupovis en una ventana de cinco horas entre el 30 de junio y el 1 de julio de 2026, entregando finalmente un payload de explotación confirmado para la CVE-2026-8451.

Cabe destacar que esta actividad aún no se refleja en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de la CISA, lo que repite un patrón visto en incidentes previos de CitrixBleed donde la explotación real precedió a la inclusión formal en la lista KEV por semanas.

Vulnerabilidad CitrixBleed Explotada

La CVE-2026-8451 es la entrada más reciente en la familia de fallos de divulgación de memoria CitrixBleed, una clase recurrente de fallos de gestión de memoria en dispositivos NetScaler identificados primero con la CVE-2023-4966 y redescubiertos en CVEs sucesivas, incluyendo la CVE-2025-5777, CVE-2025-12101 y la CVE-2026-3055.

Este historial muestra un patrón constante: los errores de estilo CitrixBleed son fallos no autenticados que exponen tokens de sesión y atraen una explotación masiva rápida una vez revelados, como se vio con el CitrixBleed original en 2023 cuando los hackers atacaron a Boeing, ICBC y DP World a las pocas semanas de la divulgación.

El nuevo fallo reside en el analizador XML personalizado de NetScaler para documentos SAML AuthnRequest, que no logra terminar los valores de atributos sin comillas seguidos de un salto de línea, provocando una lectura fuera de límites cuyos contenidos se filtran en la cookie NSC_TASS.

No requiere autenticación, necesita que NetScaler esté configurado como un IdP SAML y afecta a NetScaler ADC/Gateway 14.1 antes de la versión 14.1-72.61 y a la 13.1 antes de la 13.1-63.18.

La actividad de escaneo se rastreó hasta la IP 146.70.139[.]154, alojada en la infraestructura de M247 Europe SRL (AS9009) en Fráncfort, Alemania, un proveedor de hosting/VPN comúnmente vinculado a escaneos oportunistas.

El actor sondeó el Sensor A dos veces (ambas devolviendo 404), luego el Sensor B (404), antes de que el Sensor C devolviera una respuesta 200, momento en el cual el payload SAML completo de la CVE-2026-8451 fue entregado inmediatamente. Este comportamiento de las herramientas refleja lo que los investigadores observaron durante CitrixBleed 2 en 2025, donde el escaneo y la explotación escalaron rápidamente una vez que los detalles de la prueba de concepto se hicieron públicos, impulsando a la CISA a exigir el parcheo federal en 24 horas.

El payload capturado, enviado a POST /saml/login, se decodificó como una etiqueta simple <samlp:AuthnRequest rellena con 476 espacios y sin atributos ni etiquetas de cierre; el patrón exacto de sobrelectura del Generador de Artefactos de Detección de watchTowr, diseñado para forzar al analizador XML a leer más allá de su búfer hacia la memoria adyacente.

Debido a que la explotación de la CVE-2026-8451 es anterior a su inclusión en la lista KEV, las organizaciones que confían únicamente en la priorización de parches basada en KEV quedaron expuestas durante este intervalo a una repetición de la línea de tiempo de CitrixBleed 2, donde la explotación comenzó alrededor del 20 de junio de 2025, pero la inclusión en KEV no ocurrió hasta el 10 de julio.

El mismo actor golpeó tres sensores en una sola barrida, un patrón que solo es visible a través de telemetría centralizada de múltiples sensores en lugar de honeypots aislados.

Los sensores que devolvieron 404 solo registraron sondeos, mientras que el sensor que devolvió 200 capturó la cadena de explotación completa, demostrando que las herramientas del atacante validan los objetivos antes de lanzar los payloads.

Indicadores de Compromiso

Indicador	Tipo	Contexto
146.70.139[.]154	IPv4	Escaneo CVE-2026-8451, nodo de salida M247 Europe SRL (AS9009), Alemania
python-requests/2.32.5	User-Agent	Herramientas de escaneo automatizadas
POST /saml/login	Endpoint	Endpoint de explotación CVE-2026-8451
<samlp:AuthnRequest + 400+ espacios	Patrón de Payload	Variante de sobrelectura CVE-2026-8451

Fuentes:
https://cybersecuritynews.com/citrixbleed-vulnerability-exploited/