【安全圈】新“炸弹”拒绝服务攻击曝光：单机拖垮服务器，约 10 秒耗尽 32GB 内存

安全圈

2026年6月4日 19:00
江苏

在小说阅读器读本章

去阅读

关键词

攻击

科技媒体bleepingcomputer昨日（6月3日）报道，网络安全公司Calif借助OpenAI的Codex智能体，发现了一种名为HTTP/2 Bomb的拒绝服务（DoS）攻击，该攻击可从单台机器发起，在数秒到数十秒内迅速拖垮Web服务器，对默认HTTP/2配置的系统构成严重威胁，受影响服务器包括NGINX、Apache HTTP Server、微软IIS、Envoy和Cloudflare Pingora等主流软件。

攻击原理：双管齐下，资源耗尽此次攻击结合两种已知的HTTP/2漏洞利用手段：

1. HPACK压缩放大请求头： 攻击者先插入请求头，再通过HPACK动态表反复引用，用极少量输入数据触发服务器分配大量内存（如1字节输入可放大至数千字节），导致资源快速消耗。实测Envoy和Apache httpd的放大比例分别达5700:1和4000:1。

2. HTTP/2流控停滞： 攻击者设置零字节流控窗口，阻止请求完成。服务器只能周期性发送小帧维持连接，导致请求挂起、内存无法释放，最终耗尽系统资源。

实测数据：内存极速耗尽

● Envoy 1.37.2版本：约10秒耗尽32GB内存。

● Apache httpd 2.4.67版本：约18秒耗尽32GB内存。

修复与缓解措施

1. 已修复版本：

○ NGINX 1.29.8：新增max_headers指令限制请求头数量。

○ Apache httpd mod\_http2 2.0.41：修复漏洞（编号CVE-2026-49975）。

2. 临时应对建议：

○ 关闭HTTP/2：暂时禁用HTTP/2，回退至HTTP/1.1。

○ 前端防护：部署代理或防火墙，限制请求头数量；通过WAF拦截恶意请求。

安全警示HTTP/2 Bomb攻击利用HTTP/2协议默认配置缺陷，具有低门槛、高破坏性特点，单台攻击机即可瘫痪服务器。建议：

1. 检查并升级：确认服务器版本，及时更新至修复版。

2. 部署防护：若无法立即升级，务必关闭HTTP/2或加强前端拦截。

3. 监控资源：实时监测服务器内存、CPU，异常波动时快速响应。

该攻击的发现凸显协议实现的安全风险，也体现了AI在漏洞挖掘中的潜力。企业和机构需及时修补漏洞，避免攻击损失。

END

阅读推荐

【安全圈】弃用谷歌，欧洲议会因隐私考量改用法国 Qwant 为默认搜索引擎

【安全圈】惠普 VoIP 电话现严重漏洞，或致企业网络遭入侵

【安全圈】弃用谷歌，欧洲议会因隐私考量改用法国 Qwant 为默认搜索引擎

【安全圈】《GTA5》外挂帝国崩塌！6.4万玩家隐私裸奔，黑客用“正义”撕开黑产遮羞布

安全圈

←扫码关注我们

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！