Tác nhân AI phát hiện lỗ hổng DoS HTTP/2 ảnh hưởng nhiều máy chủ web
"OpenAI's Codex agent helped identify a remote denial-of-service exploit, dubbed HTTP/2 Bomb, that chains the decade-old HPACK compression bomb and Slowloris-style hold techniques to crash vulnerable HTTP/2 web servers in seconds. The issue affects default configurations in nginx, Apache HTTP Server, Microsoft IIS, Envoy, and Cloudflare Pingora; nginx and Apache have released fixes, while Microsoft IIS and Cloudflare Pingora were reported as still unpatched at the time of publication, with mitigations including disabling HTTP/2 or limiting request headers."
Tác động bảo mật cao do khả năng gây từ chối dịch vụ hoàn toàn cho các máy chủ web phổ biến chỉ trong vài giây. Lỗ hổng dễ bị khai thác từ xa với tài nguyên tối thiểu.
Gây ra gián đoạn dịch vụ nghiêm trọng cho các trang web và ứng dụng, ảnh hưởng đến hoạt động kinh doanh và uy tín thương hiệu. Yêu cầu cập nhật hoặc cấu hình lại hệ thống để giảm thiểu rủi ro.
Một tác nhân AI của OpenAI Codex đã hỗ trợ phát hiện một lỗ hổng tấn công từ chối dịch vụ (DoS) từ xa mới, được đặt tên là HTTP/2 Bomb. Lỗ hổng này kết hợp hai kỹ thuật tấn công DoS đã biết từ lâu: HPACK compression bomb (khai thác thuật toán nén header HTTP/2, gây tràn bộ nhớ) và Slowloris-style (duy trì kết nối hợp lệ để làm cạn kiệt tài nguyên máy chủ). Sự kết hợp này cho phép kẻ tấn công làm sập các máy chủ web HTTP/2 dễ bị tổn thương chỉ trong vài giây, sử dụng tài nguyên tối thiểu từ một máy tính cá nhân.
Lỗ hổng ảnh hưởng đến cấu hình mặc định của nhiều máy chủ web phổ biến, bao gồm nginx, Apache HTTP Server, Microsoft IIS, Envoy và Cloudflare Pingora. Các nhà nghiên cứu đã tiết lộ rằng nginx đã phát hành bản vá trong phiên bản 1.29.8, và Apache HTTP Server đã khắc phục trong mod_http2 v2.0.41 (được gán CVE-2026-49975). Đối với Microsoft IIS và Cloudflare Pingora, tại thời điểm công bố, chúng được báo cáo là chưa có bản vá trực tiếp, mặc dù Cloudflare tuyên bố kiến trúc hiện có và các biện pháp giảm thiểu DDoS của họ đã bảo vệ khách hàng. Các khuyến nghị kỹ thuật bao gồm vô hiệu hóa HTTP/2 hoặc giới hạn số lượng HTTP header mà một máy khách có thể gửi trong một yêu cầu duy nhất đến máy chủ.