【紧急】最有力气的漏洞！人人都能打崩网站，88万台服务器裸奔，CVSS 9.8拒绝服务漏洞 | CVE-2026-49975 | HTTP2 Bomb

合集 · 网络安全 (31)

Description

目前测试很多网站都是能打的
当然大家注意不要滥用
---------------------------------------------------------------------------------------
HTTP/2 Bomb（CVE-2026-49975）| CVSS 9.8 | 千倍内存放大 DoS
“家用宽带 100Mbps 就能搞发动的超值DoS”
 
漏洞由 Calif 用 OpenAI Codex 发现，两个十年老技术组合。
影响的框架：nginx、Apache、IIS、Envoy、Cloudflare Pingora
 
修复方案：
- nginx：升级 1.29.8+
- Apache：升级 mod_http2 v2.0.41+
- IIS/Envoy/Pingora：暂无补丁，建议禁用 HTTP/2 或部署前置代理
 
PoC 复现笔记：https://github.com/Unclecheng-li/poc-lab
网安日报：https://unclecheng-li.github.io/cybersecurity-daily/

Comments

13711677_bili 2026-06-10

linux你听我说，今天我来说说你，这个漏洞是你制作滴，请你把漏洞关闭

♥ 650 ↩ 6

26数字哥 2026-06-10

[支持]

♥ 884 ↩ 20

靗鲱霁茶 2026-06-10

一打开 bilibili 又可以转发内容给运维了[箱庭少女之梦表情包_流汗]

♥ 634 ↩ 11

网络小白_Uncle城 2026-06-10

我知道漏洞系列大家看得审美疲劳了[魔法少女的魔女审判表情包_一定是..]，我自己也有点做腻了[Mygo表情包_大哭][Mygo表情包_大哭][Mygo表情包_大哭] 所以接下来就给大家更新标准内容吧[超辉夜姬表情包_wink]，之后除非出现了超级大爆！[超辉夜姬表情包_威胁]的大漏洞，不然就暂时不做了喵！[超辉夜姬表情包_魅惑]

♥ 516 ↩ 46

一点也不中二的中二病 2026-06-10

试了一下，被cdn劫持了，一巴掌打在盾牌上面了，淦，能用这个方法打烂的网址好像并不多吧

♥ 207 ↩ 5

無宙 2026-06-10

很有互联网早期风格的一个bug，现在开发应该是默认外部传入的每一个字段都是要害我另外这个不能在应用层拦截吗，根据ip将使用的一定时间内的内存总量分组排序，内存不够的时候选一个占用最大的线程杀掉释放内存，这样虽然ddos也能占用你大量内存，但qos降级比彻底停止服务还是要好一点

♥ 199 ↩ 8

guess_who_am_i 2026-06-13

自从关注了你我感觉整个互联网都不安全了（

♥ 174 ↩ 4

酒石酸燐子 2026-06-10

有个老外设置反爬的思路就是这样，检测到爬虫返回一个gzip炸弹，现在反过来用了

♥ 136

一点也不中二的中二病 2026-06-10

一台电脑就可以吗？这么夸张，我还以为需要僵尸网络呢。[笑哭]

♥ 124 ↩ 3

blues_rain 2026-06-15

前天挖了个洞，有个厂商的py文件里直接调用pickle.loads处理数据，好玩的是一点限制没有啊，我构造了一个reduce返回os.system和一些命令，pickle在反序列化时候直接调用os.system，还有tophub也是自己就调用了给我下了个远端日志，发现那几个模块起码三个是连着触发的，后面测试反弹shell，然后发现他们的容器还能逃逸，评估CVSS9.6，美美得吃4w5[吃瓜]

♥ 83 ↩ 10