Descoberta e escopo da vulnerabilidade
Uma nova vulnerabilidade de negação de serviço (DoS) remota, batizada de HTTP/2 Bomb, foi descoberta pelo pesquisador Quang Luong e afeta as configurações padrão de HTTP/2 dos servidores web mais amplamente implantados no mundo. A falha permite que um único atacante, mesmo com uma conexão doméstica de internet, esgote dezenas de gigabytes de memória do servidor em segundos.
O exploit combina duas técnicas conhecidas pela comunidade de segurança há quase uma década: uma bomba de compressão HPACK e uma retenção de conexão estilo Slowloris. O que torna esta variante inovadora não são os primitivos em si, mas a forma precisa como são combinados e, criticamente, onde a amplificação se origina.
Impacto e alcance global
Uma análise do Shodan identificou mais de 880.000 sites públicos com suporte a HTTP/2 executando um dos servidores afetados. Embora muitos estejam protegidos por CDNs que reduzem a exposição direta, o risco permanece significativo para organizações que operam infraestrutura web crítica.
| Servidor | Amplificação | Resultado da Demonstração |
|---|---|---|
| Envoy 1.37.2 | ~5.700:1 | ~32 GB em ~10s |
| Apache httpd 2.4.67 | ~4.000:1 | ~32 GB em ~18s |
| nginx 1.29.7 | ~70:1 | ~32 GB em ~45s |
| Microsoft IIS (Windows Server 2025) | ~68:1 | ~64 GB em ~45s |
Análise técnica detalhada
O HPACK (RFC 7541) é o esquema de compressão de cabeçalhos com estado do HTTP/2. Cada peer mantém uma tabela dinâmica de cabeçalhos vistos recentemente; um remetente pode inserir um cabeçalho uma vez e subsequentemente referenciá-lo com um índice de um único byte. O receptor deve materializar uma cópia completa desse cabeçalho em cada referência.
O exploit sementeia a tabela dinâmica com um cabeçalho, depois emite milhares de referências indexadas de 1 byte em uma única solicitação, custando ao atacante um byte de fio enquanto força o servidor a alocar de ~70 bytes (nginx, IIS, Pingora) a ~4.000 bytes (Apache httpd, Envoy) por referência.
O segundo componente explora o controle de fluxo por stream do HTTP/2 (RFC 9113). O cliente anuncia uma janela de controle de fluxo de zero bytes, impedindo o servidor de terminar sua resposta. Um gotejamento de quadros WINDOW_UPDATE de 1 byte continuamente reseta o timeout de envio, prendendo cada alocação de memória no lugar pelo tempo que o atacante desejar.
Repercussão e implicações para CISOs
A equipe de pesquisa conclui que a classe de vulnerabilidade reflete um defeito de especificação no RFC 7541. A seção 7.3 enquadra o risco de memória apenas como uma razão de amplificação e trata o SETTINGS_HEADER_TABLE_SIZE como um limite suficiente. Não leva em conta a sobrecarga de bookkeeping por entrada; a amplificação neste exploit vem inteiramente de metadados de alocador em torno de cabeçalhos quase vazios, contornando todos os limites de tamanho decodificado.
Cinco implementações independentes leram a mesma seção e enviaram o mesmo bug. Isso representa um risco sistêmico para a infraestrutura web global.
Medidas de mitigação recomendadas
- nginx: Atualizar para 1.29.8+; se não for possível, definir
http2 off; - Apache httpd: Aplicar mod_http2 v2.0.41 das releases standalone; caso contrário, definir
Protocols http/1.1para desabilitar HTTP/2 - Microsoft IIS / Envoy / Cloudflare Pingora: Sem patch disponível no momento da escrita, desabilitar HTTP/2 ou proteger com um proxy que imponha um limite rígido de contagem de cabeçalhos por solicitação
- Todos os servidores: Limitar memória por worker via cgroups,
ulimit -vou limites de container. Um worker OOM-killed que reinicia é um modo de falha muito melhor do que uma máquina empurrada para swap
Implicações regulatórias e operacionais
Para organizações brasileiras, este incidente tem implicações diretas para conformidade com a LGPD, especialmente para empresas que operam serviços web críticos. A exposição de infraestrutura web pode levar a interrupções de serviço que afetam o tratamento de dados pessoais.
Equipes de segurança devem priorizar a atualização de servidores web e implementar monitoramento de anomalias de memória em tempo real. A falha CVE-2026-49975 foi atribuída à variante Apache httpd após divulgação responsável em 27 de maio de 2026, com correção no mesmo dia.
Perguntas frequentes
Q: Qual é o risco real para empresas brasileiras?
A: Qualquer organização com servidores web públicos expostos a HTTP/2 está em risco. A amplificação permite que um único atacante derrube serviços críticos com recursos mínimos.
Q: Existe exploração ativa confirmada?
A: O pesquisador apresentou as técnicas na conferência Real World AI Security em Stanford em junho de 2026. Scripts PoC estão disponíveis no repositório GitHub do Codex.
Q: Como monitorar ataques?
A: Implemente alertas de uso anormal de memória em servidores web e monitore tráfego HTTP/2 com padrões de cabeçalhos suspeitos.