Alert GCSA-26103 - Vulnerabilita' in HTTP/2 (Bomb Attack)

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

******************************************************************

Alert ID: GCSA-26103
Data: 4 Giugno 2026
Titolo: Vulnerabilita' in HTTP/2 (Bomb Attack)

******************************************************************


:: Descrizione del problema

E' stata riscontrata una vulnerabilita' (CVE-2026-49975) nel protocollo HTTP/2,
che potrebbe consentire ad un aggressore di generare attacchi di tipo Denial of Service.

Note:
La PoC e' già pubblicamente disponibile,
la vulnerabilita' è classificata ad alto rischio di sfruttamento.


:: Software interessato

I software dei web server piu' popolari (inclusi NGINX, Apache, Microsoft IIS, Envoy e Cloudflare Pingora),
con una configurazione di default del protocollo HTTP/2, risultano affetti da questa vulnerabilita'.


:: Impatto

Denial of Service


:: Soluzioni

Applicare le mitigazioni come da istruzioni dei rispettivi vendor.


:: Riferimenti

https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb

Cyber Security News:
https://cybersecuritynews.com/http-2-bomb-remote-dos-exploit/

Mitre's CVE ID
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-49975



GARR CERT Newsletter subscribe/unsubscribe:
https://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----

iF0EAREIAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCaiFvsQAKCRDBnEyTZRJg
QnjVAJ4m1iI/NMJzdDxOGrvLTROmaVsMUgCdHTGzuUm91GVqizTt/JVCImkE9QY=
=mEB7
-----END PGP SIGNATURE-----