Un exploit de denegación de servicio remoto recientemente revelado, apodado "HTTP/2 Bomb", ataca las configuraciones predeterminadas de HTTP/2 de los servidores web más desplegados del mundo: nginx, Apache httpd, Microsoft IIS, Envoy y Cloudflare Pingora, permitiendo que un solo atacante con una conexión de internet doméstica agote decenas de gigabytes de memoria del servidor en cuestión de segundos.

El exploit fue descubierto por el investigador Quang Luong utilizando Codex y encadenando dos técnicas que la comunidad de seguridad conoce individualmente desde hace casi una década: una bomba de compresión HPACK y un mantenimiento de conexión al estilo Slowloris.

Lo que hace que esta variante sea novedosa no son las primitivas en sí, sino la forma precisa en que se combinan y, fundamentalmente, dónde se origina la amplificación.

Exploit de DoS Remoto HTTP/2 Bomb

HPACK (RFC 7541) es el esquema de compresión de cabeceras con estado de HTTP/2. Cada par mantiene una tabla dinámica de cabeceras vistas recientemente; un remitente puede insertar una cabecera una vez y posteriormente referenciarla con un índice de un solo byte.

El receptor debe materializar una copia completa de esa cabecera en cada referencia. Según Jun Rong y Duc Phan, el exploit alimenta la tabla dinámica con una cabecera y luego emite miles de referencias indexadas de 1 byte en una sola solicitud, lo que le cuesta al atacante un solo byte de red mientras obliga al servidor a asignar desde ~70 bytes (nginx, IIS, Pingora) hasta ~4,000 bytes (Apache httpd, Envoy) por referencia.

El segundo componente explota el control de flujo por flujo de HTTP/2 (RFC 9113). El cliente anuncia una ventana de control de flujo de cero bytes, evitando que el servidor termine jamás su respuesta.

Un goteo de tramas WINDOW_UPDATE de 1 byte restablece continuamente el tiempo de espera de envío, fijando cada asignación de memoria en su lugar durante todo el tiempo que el atacante desee, convirtiendo una amplificación transitoria en un bloqueo de memoria persistente.

Un análisis de Shodan identificó más de 880,000 sitios web públicos que soportan HTTP/2 y ejecutan uno de estos servidores, aunque muchos están protegidos por CDNs que reducen la exposición directa, dijo Quang Luong.

Para los servidores que limitan la cantidad de campos de cabecera en lugar del tamaño decodificado (Apache, Envoy), el exploit utiliza una omisión mediante la cabecera Cookie. El RFC 9113 §8.2.3 permite explícitamente dividir una cabecera Cookie en un campo por cada fragmento. Ni Apache ni Envoy estaban contando esos fragmentos frente a los límites de campos.

Envoy añade cada fragmento a un búfer; un valor de cookie de 4 KB referenciado 32,768 veces produce una relación lógica de ~3,600:1, con relaciones de RSS medidas que alcanzan ~5,700:1 en un solo flujo una vez que se acumula la sobrecarga del asignador. Apache httpd reconstruye toda la cadena de cookies fusionada en cada fragmento, manteniendo vivas las copias anteriores hasta la limpieza del flujo, lo que produce una relación de ~4,000:1 incluso para una cookie vacía.

A la variante de Apache httpd se le asignó el CVE-2026-49975 tras la divulgación responsable el 27 de mayo de 2026, con una corrección implementada el mismo día por Stefan Eissing. La corrección de nginx llegó en la versión 1.29.8, importando la directiva max_headers con un límite predeterminado de 1,000 cabeceras.

CVEs relacionados anteriores incluyen CVE-2016-6581 (Bomba HPACK original, acuñada por Cory Benfield), CVE-2025-53020 (amplificación de Apache httpd ~4,000:1, Gal Bar Nahum), CVE-2016-8740 y CVE-2016-1546.

Mitigaciones

• nginx: Actualiza a 1.29.8+; si no es posible, configura http2 off;
• Apache httpd: Aplica mod_http2 v2.0.41 de los lanzamientos independientes; de lo contrario, configura Protocols http/1.1 para desactivar HTTP/2
• Microsoft IIS / Envoy / Cloudflare Pingora: No hay parches disponibles al momento de escribir; desactiva HTTP/2 o utiliza un proxy que imponga un límite estricto de recuento de cabeceras por solicitud
• Todos los servidores: Limita la memoria por trabajador mediante cgroups, ulimit -v o límites de contenedor; un trabajador eliminado por OOM (out-of-memory) que se reinicie es un modo de fallo mucho mejor que una máquina forzada a usar la memoria swap

El equipo de investigación concluye que esta clase de vulnerabilidad refleja un defecto de especificación en el RFC 7541. La Sección 7.3 plantea el riesgo de memoria únicamente como una relación de amplificación y trata a SETTINGS_HEADER_TABLE_SIZE como un límite suficiente.

No tiene en cuenta la sobrecarga de gestión de cada entrada; la amplificación en este exploit proviene enteramente de los metadatos del asignador alrededor de cabeceras casi vacías, saltándose cualquier límite de tamaño decodificado. Cinco implementaciones independientes leyeron la misma sección y cometieron el mismo error.

Los scripts de PoC, laboratorios de Docker y los análisis detallados por servidor están disponibles en el repositorio GitHub de Codex. El investigador Quang Luong presentará estas técnicas en la conferencia Real World AI Security en Stanford en junio de 2026.