STANFORD / LONDON (IT BOLTWISE) – Sicherheitsexperten warnen vor der „HTTP/2 Bomb“: Eine einzelne Anfrage kann Server über eine Header-Kompressions- und Flow-Control-Kombination so ausbremsen, dass der Arbeitsspeicher massiv kollabiert. Besonders betroffen sind gängige Proxy- und Webserver-Setups, während Patch-Zeitpunkte je nach Implementierung stark variieren. Der Angriff steht bereits mit Proof-of-Concept-Exploits im Umlauf, wodurch kurzfristige Abwehrmaßnahmen wie WAF- und NIDS-Regeln an Bedeutung gewinnen. Auf der Real World AI Security Conference in Stanford sollen Details zur Angriffskette öffentlich vorgestellt werden.
Angriffe im Web-Stack wirken oft dann besonders gefährlich, wenn sie nicht auf große Bandbreite oder lange Übertragungen angewiesen sind. Genau darauf zielt die neu beschriebene „HTTP/2 Bomb“ ab: Eine einzelne, sorgfältig konstruierte Anfrage kann einen Server so stark in die Ressourcenfalle treiben, dass er innerhalb von Sekunden nicht mehr zuverlässig erreichbar ist. In der Recherche ist die Rede von über 880.000 betroffenen Websites und Endpunkten. Für Unternehmen ist die Brisanz vor allem deshalb hoch, weil HTTP/2 heutzutage vielerorts als Standard-Transport in Ingress- und Proxy-Ketten genutzt wird und die Auswirkung zunächst wie ein allgemeiner Performance-Einbruch aussieht.
Technisch nutzt der Angriff eine Schwachstelle im HTTP/2-Protokoll, indem er HPACK-Kompression mit einer Manipulation der Flow-Control kombiniert. Konkret wird ein sogenanntes „HTTP/2 Window Stall“ ausgenutzt, das die Verarbeitung in einen Zustand drückt, in dem die Implementierung intern zunehmend Verwaltungsstrukturen für Header-Einträge anlegt. Das „Tückische“ daran: Der Angreifer braucht dafür keine hohe Datenmenge. Ein kleines Datenpaket mit entsprechendem Muster kann im Arbeitsspeicher des Servers eine Kaskade auslösen, die sich zu Gigabyte-Größen auswächst. Damit verschiebt sich das Risiko weg von klassischem Traffic-Volumen hin zu fehlerhafter Ausnutzung von Protokoll-Mechanismen.
Damit unterscheidet sich die „HTTP/2 Bomb“ von früheren Kompressionsangriffen, die primär über die Masse an komprimierten Daten operierten. Stattdessen zwingt der Angriff die Serverkomponente, pro Header-Eintrag zusätzliche interne Rechen- und Speicherarbeit zu leisten. Dieses „per-entry bookkeeping“ frisst RAM und kann in der Praxis dazu führen, dass Worker-Prozesse ans Limit laufen, das System thrashen oder Restart-Mechanismen greifen. Eine weitere kritische Dimension ist, dass bestimmte Sicherheitsfilter – etwa für Cookie-Header – je nach Konfiguration in Teilen umgangen werden können. Für Security-Teams bedeutet das: Blocklisten auf HTTP-Ebene reichen allein oft nicht, wenn der Schaden bereits in der Parser- und State-Handling-Phase entsteht.
Wie stark ein System verwundbar ist, hängt laut den dokumentierten Tests massiv von der eingesetzten Software ab. Besonders auffällig ist Envoy: Hier wurde eine Verstärkungsrate von 5.700:1 berichtet. In einem Test mit 32 GB RAM soll eine Instanz bereits nach rund zehn Sekunden nicht mehr ansprechbar gewesen sein. Apache HTTPD erreichte mit 2.4.67 etwa 4.000:1 und war nach ungefähr 18 Sekunden am Limit. NGINX zeigte 1.29.7 mit 70:1, erschöpfte 32 GB RAM aber dennoch nach rund 45 Sekunden. Microsoft IIS auf Windows Server 2025 lag bei 68:1, mit ähnlich schnellem Verbrauch nach etwa 45 Sekunden. Auffällig ist damit der Zusammenhang zwischen Proxy-Architektur, Implementierungsdetails und dem konkreten State-Management.
Neben etablierten Open-Source-Komponenten wird auch eine Eigenentwicklung aus der Cloud-Sphäre genannt: Cloudflares Pingora soll ebenfalls betroffen sein. Während solche Ergebnisse auf den ersten Blick wie eine reine Produkt-Risikoübersicht wirken, zeigen sie in Summe ein Muster aus der Geschichte von HTTP/2: Das Protokoll bringt Effizienzgewinne, aber auch komplexeres State-Handling mit. In der Vergangenheit führten bereits verschiedene Parser- und Kompressions-Schwachstellen zu DoS-Szenarien. Für Unternehmen ist entscheidend, dass ein Angreifer „pro Entry“ skaliert, nicht „pro Datenvolumen“. Das hat direkte Auswirkungen auf Monitoring und Incident Response: Metriken wie Bandbreite bleiben möglicherweise unauffällig, während Memory-Spikes und ungewöhnliche Header-Verarbeitungsraten im Vordergrund stehen.
Beim Patch-Status zeigt sich ein Flickenteppich. NGINX soll das Problem bereits im April mit Version 1.29.8 behoben haben, außerdem wurde die Einstellung „max_headers“ eingeführt, um den Ressourcenverbrauch bei der Header-Verarbeitung zu begrenzen. Die Apache Software Foundation zog Ende Mai nach und veröffentlichte einen Fix für eine als CVE-2026-49975 gelistete Schwachstelle; betroffen ist mod_http2 in Version 2.0.41. Noch offen sind laut Bericht offizielle Patches für Microsoft IIS, Envoy und Pingora. In der Übergangsphase empfehlen Sicherheitsexperten daher, ungepatchte Systeme zusätzlich abzusichern – etwa durch Web Application Firewalls (WAF) und Netzwerk-Intrusion-Detection-Systeme (NIDS). Diese Tools können verdächtige HTTP/2-Datenströme erkennen und blockieren, bevor sie überhaupt in die kritische Parser-/Header-Logik laufen.
Für die Unternehmenspraxis ist die wichtigste Lehre eine Kombination aus Hygiene und Risikominderung: erstens schnelle Upgrades dort, wo Vendor-Fixes verfügbar sind, und zweitens eine kontrollierte „Fail-Closed“-Strategie für Proxy- und Edge-Komponenten. Besonders relevant wird das, weil Proof-of-Concept-Exploits bereits öffentlich kursieren. Wenn das Thema zudem im laufenden Monat auf der Real World AI Security Conference in Stanford vorgestellt wird, steigt typischerweise die Zahl der Nachahmungen und der konkrete Angriffskontext verlagert sich schnell in reale Netze. Entwicklerteams sollten außerdem ihre Lastausgabe und Rate-Limits überdenken und prüfen, ob Memory- und Header-Metriken so überwacht werden, dass ein Angriff frühzeitig auffällt. Langfristig ist damit zu rechnen, dass Implementierungen stärker „budgetiert“ werden – also Parser- und Header-Ressourcen konsequent begrenzen, um die Art von Verstärkung zu reduzieren, die die HTTP/2 Bomb möglich macht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "„HTTP/2 Bomb“: Eine Anfrage kann Server und Proxies massiv mit RAM auslasten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "„HTTP/2 Bomb“: Eine Anfrage kann Server und Proxies massiv mit RAM auslasten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »„HTTP/2 Bomb“: Eine Anfrage kann Server und Proxies massiv mit RAM auslasten« bei Google Deutschland suchen, bei Bing oder Google News!