Foi detectada uma falha crítica no protocolo HTTP/2 que permite ataques remotos de negação de serviço. Servidores populares como NGINX, Apache, IIS, Envoy e Cloudflare estão expostos. Os atacantes podem derrubar sites, afetando compras, trâmites ou informações cotidianas. A solução imediata é aplicar patches de segurança para evitar quedas em serviços essenciais.
A falha explora o gerenciamento de fluxos em HTTP/2 🔥
A vulnerabilidade reside em como o HTTP/2 lida com fluxos concorrentes. Um atacante envia múltiplas solicitações que forçam o servidor a consumir memória e CPU até colapsar. Afeta configurações padrão em NGINX, Apache, IIS e Envoy. A Cloudflare já implementou mitigações, mas os administradores devem verificar suas versões. Sem patch, um único ataque pode derrubar um serviço crítico sem necessidade de grande largura de banda.
Outra razão para não dormir tranquilo como sysadmin 😅
Por se não tivesse o suficiente com corrigir Log4j, SSL e o kernel toda terça-feira, agora HTTP/2 te presenteia com um novo pesadelo. O melhor é que a falha permite derrubar seu servidor com menos esforço do que você coloca em justificar por que não atualizou. Então já sabe: café, patch e rezar para que os atacantes tenham coisas melhores para fazer em um domingo.