【要点】
◎HTTP/2の圧縮機能とSlowloris攻撃を組み合わせた新手法「HTTP/2 Bomb」が発見された。家庭用PCでもサーバを短時間で停止させる可能性があり、国内外で緊急対応が進んでいる (ITmedia)
【要約】
米Califは、OpenAIのCodexを用いた分析により新たなDoS攻撃手法「HTTP/2 Bomb」を発見した。この攻撃は、HTTP/2のヘッダ圧縮機能HPACKを悪用してサーバのメモリ消費を増幅させる手法と、接続を維持してリソースを占有するSlowloris攻撃を組み合わせたもの。少量の通信でもサーバ側では大量のメモリが消費され、Apache httpdやEnvoyでは約20秒で32GBのメモリを枯渇させる可能性があるという。影響を受けるのはnginx、Apache、Microsoft IIS、Envoy、Cloudflare Pingoraなど。国内ではさくらインターネットやGMOインターネットグループがHTTP/2を無効化するなど緊急対応を実施しており、修正版への更新やHTTP/1.1への切り替えが推奨されている。
【ニュース】
◆家庭用PCでも数秒でサーバを“落とせる”、HTTP/2の脆弱性をCodexが発見 さくらインターネットも対策 (ITmedia, 2026/06/05 19:40)
https://www.itmedia.co.jp/news/articles/2606/05/news119.html
