Codex-funn gjør HTTP/2 til driftsrisiko

En ny HTTP/2-sårbarhet viser hvor kort veien er blitt fra gammel protokollkunnskap til fungerende angrep når AI-verktøy leser kodebaser og kobler teknikker.

Calif har publisert HTTP/2 Bomb, et fjernstyrt tjenestenektangrep mot store webservere. Listen er ikke perifer: nginx, Apache httpd, Microsoft IIS, Envoy og Cloudflare Pingora nevnes som berørt i standard HTTP/2-oppsett.

Forskerne skriver at angrepet ble funnet med Codex, ved å kjede sammen to teknikker som har vært kjent lenge: en HPACK-kompresjonsbombe og en Slowloris-lignende hold der klienten hindrer serveren i å frigjøre minne.

For CISO-er er saken praktisk. Dette handler om internettvendt infrastruktur, patching, lastbalanserere, CDN-er, API-gatewayer og beredskap mot minneutmattelse. For CIO-er er den strategisk fordi den viser at AI kan korte ned tiden fra offentlig kodeendring til brukbar exploit.

Én byte inn, mye minne ut

HTTP/2 bruker HPACK for å komprimere headere. Calif beskriver hvordan én byte på linjen kan bli til en full headerallokering på serveren, gjentatt tusenvis av ganger per request. Deretter holder klienten responsen fast med et null-byte flow-control-vindu, slik at serveren ikke får frigjort minnet.

I praksis kan en angriper bruke lite båndbredde til å låse mye serverminne. Calif skriver at en hjemme-PC på 100 Mbps kan gjøre en sårbar server utilgjengelig på sekunder, og at én klient mot Apache httpd og Envoy kan holde 32 GB serverminne på omtrent 20 sekunder.

Dette er klassisk asymmetri. Angriperen betaler lite. Forsvareren betaler i minne, worker-prosesser, kø og responstid.

The Hacker News bekrefter hovedlinjene og gjengir anbefalingene: nginx bør oppgraderes til 1.29.8 eller nyere, Apache-fiks ligger i mod_http2 v2.0.41, og der patch ikke finnes, bør HTTP/2 slås av eller skjermes bak komponenter som setter harde grenser for antall headere.

Ikke bare enda en CVE

Det letteste er å lese dette som en normal sårbarhetsnotis. Det er for smalt.

Det viktige er at teknikkene ikke var nye. HPACK-bomber og Slowloris-lignende mønstre har vært kjent i årevis. Det nye er koblingen. Calif skriver at Codex leste kodebaser, gjenkjente at teknikkene kunne settes sammen og bygget det kombinerte angrepet.

Det er her AI-vinkelen blir relevant for ledere. Sårbarheter trenger ikke alltid nye ideer. Ofte holder det å kombinere gamle ideer på tvers av implementasjoner, konfigurasjoner og commits. Det er arbeid AI-verktøy blir stadig bedre til.

Når en patch-commit avslører mønsteret, kan en kapabel modell hjelpe en angriper med å finne samme svikt i andre produkter. Det betyr kortere vindu mellom offentlig fix og reell utnyttelse. Patch management får mindre slakk.

Hva bør sjekkes

Virksomheter bør først kartlegge hvor HTTP/2 termineres. Det er ikke bare webserveren. Det kan ligge i CDN, lastbalanserer, ingress controller, API gateway, service mesh eller en applikasjonsproxy.

Deretter bør teamet sjekke leverandørstatus for nginx, Apache httpd/mod_http2, Envoy, IIS og Cloudflare Pingora der de brukes. Calif skriver at nginx 1.29.8 innfører max_headers med standard 1000, og at Apache-fiksen ligger i mod_http2 v2.0.41. Envoy publiserte patcher 3. juni, ifølge oppdateringen i primærinnlegget.

Hvis patch ikke er mulig raskt, er midlertidig deaktivering av HTTP/2 et reelt tiltak. Det er ikke elegant, og det kan koste ytelse. Men for eksponerte tjenester med kritisk tilgjengelighet kan det være bedre enn å stå med en sårbar terminering mens exploit-kode sirkulerer.

Forsvarere bør også sette hardere grenser for header count, inkludert cookie-fragmenter, og for levetiden til stallende streams. Minnegrenser per worker eller container kan gi en bedre feilmåte enn at hele serveren presses ut i swap.

AI endrer sårbarhetsøkonomien

Det finnes en bredere lærdom for norske sikkerhetsmiljøer. AI gjør ikke protokoller mer sårbare i seg selv. Men AI gjør det billigere å lete etter kombinasjoner som mennesker har oversett.

Det treffer særlig gamle, komplekse standarder med mange implementasjoner. HTTP/2, komprimering, flow control og server-spesifikke ressursgrenser er akkurat den typen terreng der små forskjeller i kode kan gi stor operasjonell effekt.

CISO-er bør derfor behandle AI-assistert sårbarhetsfunn som en del av trusselbildet, ikke bare som et verktøy for egne pentestere. Når angriperne kan la modeller lese diffs, spinne opp labs og prøve varianter raskere, må forsvarssiden redusere tiden fra varsel til mitigering.

CIO-er bør stille et enkelt spørsmål til infrastruktur- og plattformteam: Hvor raskt kan vi finne alle steder en protokoll eller komponent termineres, og hvor raskt kan vi endre konfigurasjon globalt?

Hvis svaret krever regneark og manuell Slack-jakt, er ikke problemet bare HTTP/2. Da er problemet at virksomheten mangler kontrollplan for infrastrukturen sin.

Kilder og medier

Primærkilde: Calif, "Codex Discovered a Hidden HTTP/2 Bomb", https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb

Sekundærkilde: The Hacker News, "New HTTP/2 Bomb Vulnerability Allows Remote DoS on NGINX, Apache, IIS, Envoy & Cloudflare", https://thehackernews.com/2026/06/new-http2-bomb-vulnerability-allows.html

Thumbnail: OpenAI Image 2 / hogby.ai