Codex、HTTP/2の隠された脆弱性「HTTP/2 Bomb」を発見
Codex Discovered a Hidden HTTP/2 Bomb
Codexは、nginx、Apache httpd、Microsoft IIS、Envoy、Cloudflare Pingoraなど、多くの主要なWebサーバーに影響を与えるリモートサービス拒否(DoS)の脆弱性「HTTP/2 Bomb」を発見しました。この攻撃は、HTTP/2のヘッダー圧縮スキームであるHPACKの圧縮爆弾と、Slowlorisスタイルの接続維持を組み合わせたものです。攻撃者は、1バイトのデータでサーバーにヘッダー全体を割り当てさせ、さらにゼロバイトのフロー制御ウィンドウでサーバーのメモリを長時間占有し続けることで、リソースを枯渇させます。家庭用コンピュータでも、わずか数秒で脆弱なサーバーを応答不能にすることが可能です。Apache httpdやEnvoyでは、単一クライアントが約20秒で32GBのサーバーメモリを消費・保持できることが実証されています。nginxは1.29.8でmax_headersディレクティブを追加、Apache httpdはmod_http2 v2.0.41でCookieヘッダーをLimitRequestFieldsにカウントさせることで修正されました。他のサーバーにはまだパッチが提供されていません。この脆弱性はCVE-2026-49975として割り当てられています。
- CodexがHTTP/2の脆弱性「HTTP/2 Bomb」(CVE-2026-49975)を発見した
- nginxが1.29.8でmax_headersディレクティブを追加し修正した
- Apache httpdがmod_http2 v2.0.41でCookieヘッダーをLimitRequestFieldsにカウントさせる修正をリリースした
HTTP/2 Bombは、世界中の主要Webサーバー(nginx、Apache httpd、IIS、Envoy、Pingora)に影響する深刻なDoS脆弱性であり、家庭用PC一台でサーバーを停止させられる点が極めて危険。CVE-2026-49975として正式に割り当てられており、パッチが未提供のサーバーも多い。Webセキュリティ製品・CDN・WAFベンダーにとっては自社製品の脆弱性対応が投資判断の材料となる一方、パッチ未対応サーバーを使う企業はシステムリスクを抱える。セキュリティ対策ソリューションや脆弱性診断サービスの需要を喚起する可能性があり、サイバーセキュリティ分野の投資家は注視すべき事象。