Un nuovo allarme riguarda la sicurezza dei server web: una vulnerabilità legata a HTTP/2 può essere sfruttata per mandare in crisi infrastrutture molto diffuse con un attacco DoS. Il caso è emerso grazie a Codex, l’agente AI di OpenAI, utilizzato da un ricercatore per individuare un exploit capace di saturare la memoria RAM in tempi rapidissimi.
Il metodo, battezzato HTTP/2 Bomb, colpisce la configurazione predefinita di diversi web server tra i più usati al mondo, tra cui nginx, Apache httpd, Microsoft IIS, Envoy e Cloudflare Pingora. Secondo quanto pubblicato dai ricercatori di Calif, basta persino un singolo computer con una connessione non particolarmente veloce per rendere irraggiungibile un server vulnerabile.
HTTP/2 Bomb e la vulnerabilità nei web server
Alla base dell’attacco c’è una combinazione di tecniche già note, ma assemblate in modo da produrre un effetto molto più potente. Il primo elemento è il meccanismo HPACK, usato da HTTP/2 per comprimere gli header delle richieste. Una volta inserito un header nella tabella dinamica, lo stesso riferimento può essere richiamato migliaia di volte, moltiplicando il carico sulla memoria del server.
Il secondo passaggio serve a impedire che la RAM venga liberata correttamente al termine della richiesta. Insieme, queste due fasi consentono di aggirare alcune protezioni tradizionali, come i limiti sulla dimensione massima degli header, e di spingere il sistema verso il blocco completo. Le dimostrazioni mostrate dai ricercatori indicano che un server Apache httpd o Envoy con 32 GB di memoria può andare in saturazione in circa 10 o 18 secondi, mentre per nginx e Microsoft IIS servono circa 45 secondi.
Quali server sono già stati corretti
La buona notizia è che il problema risulta già risolto per nginx, Envoy e Apache httpd. Restano invece esposti Microsoft IIS e Cloudflare Pingora, che al momento risultano ancora vulnerabili secondo le informazioni diffuse. I dettagli completi dell’exploit verranno presentati durante la conferenza Real World AI Security di fine giugno, ma il codice è già disponibile su GitHub.
Come proteggersi nell’attesa
In attesa degli aggiornamenti definitivi, gli amministratori possono ridurre il rischio disattivando HTTP/2 oppure inserendo i server dietro CDN, reverse proxy e firewall. Si tratta di misure temporanee, ma utili per limitare l’impatto di un eventuale tentativo di attacco. La vicenda mostra ancora una volta come anche tecnologie consolidate possano nascondere punti deboli se combinate nel modo sbagliato.
Il fatto che una vulnerabilità di questo tipo sia stata scoperta anche grazie a un agente AI conferma inoltre quanto l’intelligenza artificiale stia diventando uno strumento sempre più rilevante nella ricerca sulla sicurezza informatica. Per chi gestisce servizi online, monitorare gli aggiornamenti e applicare le patch resta la difesa più efficace per evitare interruzioni e disservizi.
