“HTTP/2 炸弹” 漏洞利用可数秒内瘫痪 Web 服务器

主流 Web 服务器的 HTTP/2 默认配置存在安全缺陷，攻击者可组合压缩炸弹与类 Slowloris 长连接锁死攻击链路实施打击。

加州安全研究人员警示，多款已知拒绝服务（DoS）攻击手法可拼接形成全新攻击利用程序，能造成主流网页服务器下线瘫痪。

该攻击被命名为 HTTP/2 炸弹，借助 OpenAI Codex 工具被发现，它融合了针对 HTTP/2 头部压缩协议 HPACK 的压缩炸弹攻击、以及可阻止服务器释放内存的类 Slowloris 驻留连接攻击。

加州网络安全厂商 Calif 表示，本次漏洞潜在影响超 88 万个启用 HTTP/2、且采用 NGINX、Apache HTTPD、微软 IIS、Envoy、Cloudflare Pingora 默认配置的网站。

厂商补充，攻击者仅使用一台百兆家用宽带主机即可发起攻击，短短数秒就能让上述任一服务器无法提供服务。

该利用所拼接的各项攻击技术并非新生，其中三项底层安全问题早在十年前就已披露，还有一项漏洞于去年完成修复。

攻击第一阶段依托 HPACK 炸弹漏洞（编号 CVE-2016-6581），这是一种压缩层攻击：攻击者发送极小数据包，数据包抵达目标服务器解压后可膨胀至数 GB 数据体量。

去年研究人员曾针对 Apache HTTPD 演示该攻击，实现 4000 倍数据放大效果，相关问题已在 Apache HTTP Server 2.4.64 版本以 CVE-2025-53020 完成修复。

攻击第二阶段瞄准 CVE-2016-8740、CVE-2016-1546（慢速读取漏洞），这两处 Apache HTTPD 漏洞可借助 HTTP/2 请求的续传帧、篡改流量控制窗口触发拒绝服务。

这类 HTTP/2 版 Slowloris 漏洞被滥用实现内存耗尽：攻击者宣告 0 字节流量控制窗口，迫使服务器无法向外返回应答报文，再修改发送超时配置，让服务器无法回收已分配内存。

Calif 说明：“本次攻击的创新点在于数据放大逻辑。传统压缩炸弹是在索引表存入大字段并反复引用，因此服务器普遍增设解码后头部总大小上限防护。”

“我们的变种攻击思路相反：头部内容近乎为空，放大开销来源于服务器为每条头部条目额外开辟的记账内存。由于实际解码内容极少，服务器的头部大小上限校验机制不会触发。”

研究团队还找到了绕过服务器头部字段数量限制的方法，并放出概念验证（PoC）代码佐证攻击有效性。

厂商披露，NGINX 已于 4 月修复相关缺陷，Apache 在 5 月末推送补丁并分配漏洞编号 CVE-2026-49975；撰稿时，微软 IIS、Envoy、Cloudflare Pingora 暂未发布对应补丁。

Calif 补充：“值得关注的还有漏洞发现方式，两项攻击组件十年前就已公开。Codex 通读各服务器源码后，发现两种攻击能够串联并构造复合利用。该组合逻辑一经点明通俗易懂，但据我们查证，此前没有安全人员将二者结合用于攻击这类服务器。”