В начале июня 2026 года исследователи кибербезопасности из компании Calif с помощью ИИ-агента Codex обнаружили новый вариант опасной атаки HTTP/2 Bomb. Эта угроза способна эффективно работать даже с одного клиентского устройства, подключенного к сети со стандартной скоростью 100 Мбит/с.
Технически процесс реализации такой атаки состоит из двух последовательных этапов:
Манипуляция сжатием HPACK. Протокол HTTP/2 использует специальную таблицу HPACK для сжатия заголовков. В ходе атаки злоумышленник отправляет внешне практически пустой заголовок, однако принудительно заставляет сервер с помощью сотен тысяч инструкций бесконечно распаковывать и ссылаться на один и тот же крошечный элемент. Подобные действия провоцируют стремительный и лавинообразный рост потребления оперативной памяти сервера.
Блокировка потока управления (Flow Control). Сразу после полного исчерпания свободной памяти атакующий переводит размер окна управления потоком в нулевое значение. Это вынуждает сервер временно приостановить отправку ответа, удерживая занятые ресурсы, и поддерживать соединение активным с помощью отправки периодических запросов размером всего в 1 байт.
Всего один злоумышленник всего за 10–20 секунд способен полностью заблокировать от 32 до 64 ГБ оперативной памяти. При этом реальный уровень избыточного потребления ресурсов напрямую зависит от конкретной серверной реализации HTTP/2: от скромных 70 байт на каждый байт индекса у nginx, IIS и Pingora до колоссальных 4000 байт у Apache httpd и 5700 байт у Envoy.
В настоящий момент уязвимости подвержены практически все популярные серверные платформы, использующие стандартные настройки по умолчанию: NGINX, Apache HTTPD с модулем mod_http2, Microsoft IIS, Envoy, Cloudflare, а также Pingora.
Разработчики программного обеспечения уже начали выпускать необходимые патчи безопасности. Ошибка устранена в nginx версии 1.29.8, где благодаря директиве max_headers из freenginx по умолчанию обрабатывается не более 1000 заголовков. Также исправления вошли в состав Envoy 1.35.11 и 1.36.7 (параметры mutable_max_request_headers_kb и max_headers_count) и в модуль Apache mod_http2 версии 2.0.41. Для продуктов Microsoft IIS и Cloudflare Pingora официальных обновлений безопасности пока не выпущено.
Стоит отметить, что российский отечественный HTTP-сервер Angie изначально не подвержен данной уязвимости, поскольку разработчики внедрили комплексную защиту от аналогичных векторов атак еще в версии 1.8.0, выпущенной в 2024 году.
