Исследовательская фирма Calif раскрыла информацию об уязвимости «HTTP/2 Bomb» (CVE-2026-49975 присвоен для Apache httpd, но проблема затрагивает большинство популярных веб-серверов в конфигурации HTTP/2 по умолчанию). Атака позволяет удалённо исчерпать всю доступную память сервера за секунды, используя комбинацию двух техник, известных около десятилетия.
Атака сочетает два вектора. Первый — HPACK-бомба (компрессия заголовков). Клиент отправляет запрос с тысячами однобайтовых ссылок на заголовки в индексе HPACK, что на сервере приводит к полноценному выделению памяти под каждый заголовок, создавая коэффициент усиления до 5700:1. Второй — блокировка управления потоком (Slowloris-style hold). Клиент устанавливает нулевое окно управления потоком, заставляя сервер удерживать соединение открытым и не освобождать выделенную память. В результате однобайтовые данные в запросе заставляют сервер выделить гигабайты памяти и никогда её не отпускать.
Метрики воздействия (32 ГБ памяти):
Envoy 1.37.2: ~10 секунд (коэффициент ~5700:1)
Apache httpd 2.4.67: ~18 секунд (~4000:1)
nginx 1.29.7: ~45 секунд (~70:1)
Microsoft IIS (Windows Server 2025): ~45 секунд для 64 ГБ.
При невозможности обновления рекомендуется временно отключить HTTP/2 (
http2 off; в nginx, Protocols http/1.1 в Apache) или ограничить память рабочих процессов через cgroups/ulimit, чтобы атакованный worker завершался по OOM, не приводя к зависанию всей системы.Linux / Линукс 🥸