PoC de Exploit lanzado para la vulnerabilidad DoS remota de HTTP/2 Bomb en el servidor HTTP Apache

Se ha lanzado públicamente un exploit de prueba de concepto (PoC) para una vulnerabilidad crítica de denegación de servicio en el servidor HTTP Apache, rastreada como CVE-2026-49975, denominada "bomba HTTP/2″. La falla permite a atacantes remotos agotar la memoria del servidor e interrumpir los servicios sin autenticación, lo que representa un riesgo significativo para las organizaciones que ejecutan implementaciones de Apache sin parches.

La vulnerabilidad radica en la ruta de manejo de solicitudes HTTP/2 del servidor Apache HTTP. Durante la fusión del encabezado de la cookie, el servidor se ve obligado a asignar memoria repetidamente para cada expansión de campo. Todas las versiones del servidor Apache HTTP desde la 2.4.17 hasta la 2.4.67 se ven afectadas por esta vulnerabilidad. La PoC publicada y que se encuentra disponible en GitHub en EQSTLab/CVE-2026-49975, demuestra el ataque utilizando un script de exploit basado en Python.

Un exploit exitoso da como resultado una denegación de servicio remota, un consumo excesivo de memoria y un procesamiento retrasado o fallido de las solicitudes legítimas de los usuarios, lo que efectivamente desconecta el servidor sin ningún acceso privilegiado. La publicación Exploit PoC lanzado para la vulnerabilidad DoS remota de bomba HTTP/2 en el servidor HTTP Apache apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗