HTTP/2 Bomb（CVE-2026-49975）は、HTTP/2のHPACKヘッダー圧縮と、応答データを受け取らず保持するフロー制御を組み合わせたリモートのサービス妨害（DoS）です。認証されていない攻撃者が少ない通信量からサーバー側へ大きなメモリ割当てを繰り返させ、応答遅延、メモリ枯渇、プロセス停止を引き起こす可能性があります。NVDおよび各ベンダー資料が示すCVSS v3.1基本値は7.5 HIGHです。コード実行や情報漏えいの脆弱性ではありません。
今すぐ行う対策
- ✓Nginxは1.29.8以上、または利用中のディストリビューションがCVE-2026-49975を修正したパッケージへ更新する
- ✓Apache HTTP Serverは2.4.68以上へ更新する
- ✓IIS、Envoy、Pingoraなどは各ベンダーのアドバイザリを確認し、修正版または公式のHTTP/2無効化手順を適用する
- ✓更新後もHTTP/2接続数、プロセスのメモリ、再起動、応答遅延を監視する
脆弱性の仕組みと影響
HPACKでは、送信側が短いインデックス参照を使って、受信側に保存済みの長いヘッダー値を再構成させられます。攻撃者はこの圧縮差を多数のヘッダーへ適用し、さらにHTTP/2のフロー制御ウィンドウを小さく保って応答を進ませないことで、サーバーに割り当てた資源を長く保持させます。Red HatはApache httpd、Nginx、Envoyに関するHTTP/2 HPACK DoSとして案内し、UbuntuはNginxが細工したcookieヘッダーを誤って処理して過剰な資源を消費すると説明しています。
製品別の更新と確認
Nginxは1.29.8以上が修正版として案内されています。ただし、Ubuntuでは最初の修正に回帰があり、USN-8398-3で完全な修正を再提供しました。OSパッケージを使う環境では上流の版番号だけで判断せず、Ubuntu、Red Hatなど配布元がCVE-2026-49975を修正済みとしたパッケージを適用し、更新後に実行中のパッケージ版を確認してください。
Apache HTTP Serverは2.4.17から2.4.67までが影響を受け、2.4.68で修正されています。Microsoft IISなど修正版が提供されていない製品では、ベンダーが示す手順でHTTP/2を一時的に無効化するか、公式の緩和策を適用します。独自のNginxディレクティブやWAFルールを推測して追加しても、圧縮後の資源消費を確実に止められるとは限りません。
更新後の監視
更新または緩和後は、HTTP/2接続数、ワーカープロセスのメモリ使用量、OOM kill、異常な再起動、応答時間を監視します。メモリ上限や再起動設定は被害範囲を抑える補助策ですが、脆弱なHTTP/2実装そのものを修正しません。インターネット公開経路にCDNやリバースプロキシがある場合も、エッジとバックエンドのどちらがHTTP/2を終端しているかを確認し、それぞれの製品を評価してください。
📦