HTTP/2 Bomb: как Codex собрал старые DoS-приёмы в новую угрозу
HTTP/2 Bomb показывает, как Codex помог связать HPACK amplification и flow-control stall в практическую DoS-угрозу для популярных серверов.
Проверено 5 июня 2026 года. HTTP/2 Bomb — это DoS-техника против HTTP/2-серверов, которая удерживает серверную память через связку HPACK-сжатия и задержки потока ответа. Исследователи Calif пишут, что OpenAI Codex помог связать две давно известные идеи в практическую угрозу для дефолтных конфигураций nginx, Apache httpd, Microsoft IIS, Envoy и Cloudflare Pingora.
Здесь важны две вещи. Во-первых, это не история про «ИИ взломал интернет»: исследователи направляли работу, проверяли результат и отвечают за раскрытие. Во-вторых, инженерный риск реальный: один клиент с каналом около 100 Мбит/с в демонстрациях Calif мог удерживать десятки гигабайт памяти на уязвимых серверах.
Что такое HTTP/2 Bomb
Calif опубликовала разбор 2 июня 2026 года. В нём HTTP/2 Bomb описан как удалённая атака отказа в обслуживании, которая объединяет два старых класса проблем: HPACK amplification и Slowloris-подобное удержание ресурсов через flow control.
HPACK нужен HTTP/2 для сжатия заголовков. Клиент может один раз поместить заголовок в динамическую таблицу и затем ссылаться на него коротким индексом. Если реализация сервера выделяет память на каждую такую ссылку, маленький объём данных на проводе превращается в большой объём выделений на сервере.
Вторая часть атаки удерживает эти выделения. Клиент не даёт серверу нормально завершить ответ, используя особенности flow control, и память не освобождается достаточно быстро. По словам Calif, классическая защита по размеру декодированных заголовков здесь не всегда срабатывает, потому что проблема может жить не в «большом заголовке», а в служебных структурах вокруг множества маленьких элементов.
Какие серверы затронуты
В первичном разборе Calif указаны nginx, Apache httpd, Microsoft IIS, Envoy и Cloudflare Pingora в дефолтных HTTP/2-конфигурациях. BleepingComputer и Radware пересказали тот же набор затронутых серверов, но для патчей картина уже начала меняться: к 5 июня часть проектов выпустила исправления или advisory.
| Сервер в демонстрации Calif | Усиление | Демо-результат | Статус исправлений на 5 июня 2026 года |
|---|---|---|---|
| Envoy 1.37.2 | около 5 700:1 | около 32 ГБ за 10 с | GitHub advisory GHSA-22m2-hvr2-xqc8 указывает патчи 1.35.11, 1.36.7, 1.37.3 и 1.38.1. |
| Apache httpd 2.4.67 | около 4 000:1 | около 32 ГБ за 18 с | Исправление в mod_http2 v2.0.41; для Apache указан CVE-2026-49975. |
| nginx 1.29.7 | около 70:1 | около 32 ГБ за 45 с | nginx добавил директиву max_headers в 1.29.8. |
| Microsoft IIS на Windows Server 2025 | около 68:1 | около 64 ГБ за 45 с | В источниках Calif/Radware на момент публикации отдельный патч не указан. |
Calif также пишет о более чем 880 тыс. сайтов в Shodan, которые поддерживают HTTP/2 и используют один из перечисленных серверов. Эту цифру нельзя читать как количество гарантированно уязвимых целей: многие сайты находятся за CDN, reverse proxy или иной точкой терминации HTTP/2, что меняет риск.
Что проверять владельцам сервисов
HTTP/2 Bomb опасен для точки, которая реально принимает публичный HTTP/2-трафик. У компании это может быть origin-сервер, ingress, reverse proxy, edge-прокси, балансировщик или CDN. Поэтому первый вопрос не «есть ли у нас HTTP/2 вообще», а «где именно он завершается».
- Проверьте, какие публичные endpoints принимают HTTP/2 напрямую, а какие закрыты CDN или прокси.
- Сверьте версии nginx, Apache httpd/mod_http2 и Envoy с актуальными advisory и релизами.
- Проверьте лимиты на количество заголовков и cookie-фрагментов, а не только общий размер заголовка.
- Отдельно посмотрите на lifetime зависших HTTP/2-streams и рост памяти под аномальным трафиком.
- Если патча нет, временно снижайте риск на уровне прокси, WAF, L7-балансировщика или отключения HTTP/2 там, где это допустимо.
Мы сознательно не приводим команды запуска PoC и полезную нагрузку. Для защитников достаточно понять принцип: память надо ограничивать не только по размеру декодированного заголовка, но и по числу элементов, cookie crumbs и времени жизни зависших потоков.
Почему здесь важен Codex
В этой истории особенно важна роль агента в исследовании безопасности. Calif пишет, что Codex прочитал кодовые базы, увидел, что две старые техники составляются в одну атаку, и помог собрать рабочую проверку. Ответственность за выводы остаётся на исследователях, но сам процесс показывает, почему AI-assisted security research становится отдельной практикой.
У Toolarium уже есть соседний разбор про Windows-sandbox для Codex: чем ближе агент к реальному окружению, тем важнее ограничения, журналирование и контроль действий. В HTTP/2 Bomb это видно с другой стороны: агент может ускорить не только написание кода, но и поиск опасной композиции в уже известных механизмах.
Слишком широкий вывод «ИИ теперь сам ищет уязвимости» был бы неточным. Лучше читать это рядом с материалами про ExploitBench и автономные AI-эксплойты и N-Day-Bench: модели могут помочь найти и связать слабые места, но результат всё равно требует проверки, ответственного раскрытия и инженерной оценки риска.
Короткий вывод
HTTP/2 Bomb не означает, что любой сайт на HTTP/2 немедленно падает от одного запроса. Но для инфраструктурных команд это хороший повод проверить дефолтные настройки, особенно если публичный трафик приходит напрямую на nginx, Apache, IIS, Envoy или Pingora. Главная ошибка — смотреть только на bandwidth. В этой атаке узким местом становится память, удерживаемая сервером.
Для рынка ИИ вывод другой: Codex всё чаще стоит обсуждать не как удобное автодополнение, а как инструмент исследовательской работы с кодом. Это полезно для защитников, но меняет темп раскрытия уязвимостей: если агент может быстро собрать exploit path из публичных фрагментов, срок между фиксом, diff и рабочей атакой становится короче.
Источники и дата проверки
Факты проверены 5 июня 2026 года по первоисточнику Calif: Codex Discovered a Hidden HTTP/2 Bomb, материалам BleepingComputer и Radware, advisory Envoy GHSA-22m2-hvr2-xqc8, коммиту nginx с директивой max_headers, коммиту Apache httpd с обновлением mod_http2 2.0.41 и странице релизов icing/mod_h2.
