【缝隙公告】Apache mod_http2远程回绝服务缝隙(CVE-2026-49975)

颁布功夫 2026-06-04

一、、缝隙概述


0604缝隙概述.png


Apache HTTP Server是Apache Software Foundation颁布的开源Web服务器软件，，，宽泛利用于互联网网站、、企业门户、、API服务及云平台场景。其支持HTTP/1.1、、HTTP/2、、TLS、、反向代理及�？？榛┐�，，，具备高可扩大性与跨平台个性，，，是全球主流Web基础设施组件之一。


2026年6月4日，，，OG东方厅安全应急响应中心（VSRC）监测到Apache mod_http2远程回绝服务缝隙。该缝隙源于HTTP/2和谈HPACK头压缩机制与流量节制窗口处置逻辑存在资源治理缺点，，，攻击者可通过机关大量Indexed Header引用并结合零窗口INITIAL_WINDOW_SIZE阻塞响应开释，，，持续占用服务器内存资源。未经身份认证的远程攻击者可利用该缝隙以极低带宽亏损触发大规模内存分配，，，导致服务机能严重降落、、系统进入Swap甚至服务不成用，，，进而影响业务陆续性与可用性。



二、、影响领域



mod_http2 < 2.0.41

nginx < 1.29.8

Apache HTTP Server 2.4.x（默认启用 mod_http2 时受影响）

Envoy <= 1.37.2

Microsoft IIS（启用HTTP/2的 Windows Server 2025）

Cloudflare Pingora <= 0.8.0（公开钻研验证版本）



三、、安全措施



3.1 升级版本


部门受影响组件官方已颁布修复补丁或缓解更新，，，建议用户尽快实现升级。

mod_http2 >= 2.0.41

nginx >= 1.29.8

Apache HTTP Server 用户建议关注后续2.4.x正式安全版本颁布情况，，，并确认已集成 mod_http2 v2.0.41 或以上修复版本。


3.2 一时措施


若临时无法升级，，，建议采取以下措施：：

禁用HTTP/2和谈，，，仅保留HTTP/1.1

Apache HTTP Server 配置：：

Protocols http/1.1

nginx 配置：：

http2 off

限度单要求Header字段数量及Cookie字段数量

降低 LimitRequestFieldSize 等 Header 巨细限度（仅对 Apache 有效）

在天堑 CDN、、WAF 或反向代理层启用 Header 数量限度、、异常要求过滤及衔接算帐机制

设置 Worker 过程内存上限（cgroups、、ulimit 或容器限度），，，预防内存占用过高

监控 HTTP/2 异常衔接、、流控窗口、、Worker 内存占用和 Swap 使用情况

对 IIS、、Envoy、、Cloudflare Pingora 用户：：若官方补丁尚未颁布，，，建议一时禁用 HTTP/2，，，或在前置代理、、CDN、、WAF 层执行 Header 数量限度、、衔接超季节制及资源占用限度战术。


3.3 通用建议


定期更新系统补丁，，，削减系统缝隙，，，提升服务器的安全性。

加强系统和网络的接见节制，，，批改防火墙战术，，，关闭非必要的利用端口或服务，，，削减将危险服务（如SSH、、RDP等）露出到公网，，，削减攻击面。

使用企业级安全产品，，，提升企业的网络安全机能。

加强系统用户和权限治理，，，启用多成分认证机制和最小权限准则，，，用户和软件权限应维持在最低限度。

启用强密码战术并设置为定期批改。


3.4 参考链接


https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb/

https://github.com/califio/publications/tree/main/MADBugs/http2-bomb