1. 概要

CVE-2026-49975（「HTTP/2 Bomb」）は、Apache HTTP Serverの mod_http2 モジュールに影響を与える、リモートかつ未認証のサービス拒否（DoS）脆弱性です。これは古くから知られる2つのHTTP/2の弱点を連鎖させたものです：

1. HPACK帳簿爆弾 — 小さなHPACKエンコードされたHTTP/2リクエストが、複数の Cookie ヘッダーフラグメントを LimitRequestFields にカウントされることなくマージさせ、サーバーに内部ヘッダー帳簿構造のためのメモリ割り当てを繰り返し強制します。
2. フロー制御ストール（Slowloris型） — クライアントがほぼゼロのフロー制御ウィンドウを通知し、レスポンス送信を遅延させ、影響を受けるストリームを開いたままにすることで、割り当てられたメモリの解放を妨げます。

結果として、控えめな回線上の単一クライアントが、ストリームが開かれている限り、標的に対して多大かつ持続的なメモリ割り当てを強制できます。この実装は2つのペイロードモードをサポートし、設定した並行数に比例して線形に拡大します：

• nginx モード — HPACK動的テーブルに空の x-bomb ヘッダーを植え付け、繰り返し再参照します（参照あたり約70:1の増幅）。
• classic モード — 代わりに過大な cookie ヘッダーを植え付けます（参照あたり約4000:1の増幅）。

各接続は、ストリームあたり数千回（--headers、デフォルト5000）、接続あたり複数のストリーム（--streams、デフォルト10）、複数の並列接続（--threads、デフォルト1）にわたって植え付けたヘッダーを再参照します。サーバーが接続を閉じた場合、ツールは即座に再接続して継続し、手動で停止するまで続きます — これは単発のプローブではなく、継続的な保持ループです。

他の影響を受けるスタックの関連識別子（このリポジトリでは実装もテストもしていません）：

• Envoy → CVE-2026-47774
• Microsoft IIS、Cloudflare Pingora → 別途追跡、ここではCVEを参照していません

完全性のため、根底にある弱点クラスの全範囲 — 「HTTP/2 Bomb」技法（HPACK圧縮爆弾 + フロー制御ホールド）は、Apache以外の複数のサーバー実装にも影響します。このリポジトリはApacheのケースのみを実装・テストしています。残りは読者がより広いクラスを理解できるように記載しているのであり、このPoCがそれらを実証しているからではありません：

参考資料（一次情報源 — すべての主張を独立に検証してください）：

• CVEレコード: https://www.cve.org/CVERecord?id=CVE-2026-49975
• NVDエントリ: https://nvd.nist.gov/vuln/detail/CVE-2026-49975
• Apacheアドバイザリ / 脆弱性リスト: https://httpd.apache.org/security/vulnerabilities_24.html
• Apache 2.4.68変更履歴（修正コミット参照）: https://dlcdn.apache.org/httpd/CHANGES_2.4.68
• 元の発見記事: https://blog.calif.io/p/codex-discovered-a-hidden-http2-bomb

2. このリポジトリの範囲

このリポジトリに含まれるもの：

• テストを許可されている標的に対して、保持のみのHPACK爆弾動作を再現する最小限のPoCスクリプト。
• このREADME。脆弱性、開示タイムライン、安全な使用条件を文書化しています。

このリポジトリに含まれないもの：

• 脆弱なホストをインターネット上でスキャンするための自動化。
• フラッディング/DoS持続ロジック、並行数の段階的増加、認証情報/標的リスト。
• デフォルトで特定の稼働システムを標的とするコード。標的はオペレーターが明示的に指定する必要があります。

3. ⚖️ 法的・倫理的注意事項

何よりも先にこれを読んでください。

• このPoCは、教育および防御的セキュリティ研究目的に厳密に限定して公開されています — オペレーターが自身の露出を検証できるようにし、すでに開示され、すでに修正された脆弱性の公開記録を支援するためです。
• 自身のインフラ、または契約上/法的にテストを許可されているシステム（例：署名済みのペネトレーションテスト契約、バグバウンティのスコープ、書面による許可）以外の標的に対してこれを実行する前に、システム所有者から明示的かつ文書化された許可を得る必要があります。
• 所有していない、またはテストの許可を持たないシステム — 政府機関、法執行機関、重要インフラ、またはあらゆる第三者の本番システムを含むがこれに限定されない — に対して、許可なくこのPoCを実行することは、ほとんどの法域で違法であり（インドネシアではUU ITEに該当）、他の地域では刑事犯罪を構成する可能性があります。
• このリポジトリの著者：
  • このコードの悪用に対して一切の責任を負いません。
  • 許可なくあらゆるシステムのサービスを妨害、劣化、拒否するためにこのPoCを使用することを容認しません。
  • このコードを現状のまま提供し、いかなる種類の保証も行いません。
• あなたのシステムがテストされたためにこのリポジトリを見つけたベンダー、機関、またはシステムオペレーターの方は：セクション6 — 開示タイムラインで、これがどのように、誰に報告されたかを確認してください。

このリポジトリ内のコードをダウンロード、クローン、または実行することにより、適切な許可を確保する責任はあなたのみにあり、その使用に対する完全な法的責任を負うことに同意するものとします。

4. 偵察方法

CVE-2026-49975 は、セクション1の両方の基準を満たす標的にのみ適用されます — HTTP/2で到達可能かつ範囲内の脆弱な mod_http2 バージョン（2.4.17 ≤ バージョン ≤ 2.4.67、デフォルト設定）を実行していること。標的のHTTPSポートに対する単純な curl -vkI で両方を確認できます — スキャナーや追加フラグは不要です：

出力で確認すべき点：

• ALPN: server accepted h2 — サーバーがこの接続でHTTP/2をネゴシエートしました。これはCVE-2026-49975の前提条件です。バグは mod_http2 に存在するため、ここでh2を受け入れなかったサーバーは候補ではありません。
• Server レスポンスヘッダー（HEADレスポンスヘッダーが出力された後に表示、-v 出力のさらに下） — これが実際のApache/mod_http2 バージョンをセクション1の脆弱な範囲に対して確認または除外するものです。ALPNの受け入れだけではバージョンを確認できません — それには依然として Server ヘッダーまたは同等のバナーチェックが必要です。

このリポジトリの偵察ではこれ以上のものは使用されません — 能動的な悪用トラフィック、脆弱性スキャナー、ポートスイープはありません。

5. 要件

• ランタイム: Go 1.26+（モジュール: cve202649975）
• 依存関係: golang.org/x/net v0.59.0（go build により自動的に解決）
• ネットワークアクセス: 指定ポート（デフォルト 443、デフォルトでTLS/h2、平文h2cには --no-ssl）での許可された標的への直接TCP到達性
• オプション: proxychains4 — バイナリが proxychains4 の下で起動された場合、LD_PRELOAD ラッパーを検出し、同じ proxychains4.conf を読み取り、自身の接続をそのSOCKS5プロキシ経由でルーティングします（リモートDNS解決） — エンゲージメントのスコープが特定の出口パスからのテストを要求する場合に有用
• 権限: テスト対象の標的に対する書面による許可 / エンゲージメントレター

6. 開示タイムライン

CVE-2026-49975自体の公開タイムライン：2026-05-26にApacheへ報告；修正は2026-05-27に上流の mod_h2 に着地；2026-06-02にhttpd 2.4.xブランチにマージ；Apache HTTP Server 2.4.68が2026-06-08にリリース。

7. 使用方法

明示的にテストを許可されている標的にのみ実行してください。組み込みの期間制限やセーフモードはありません — 実行時間と並行数についてはあなたが責任を負います。

ビルド:

実行:

例、最小限の許可されたラボテスト：

予想される動作：

• 何かを送信する前に、プリフライトサマリー（標的、モード、接続/ストリーム数、推定サーバー側メモリ）を出力します。
• 1バイトの WINDOW_UPDATE ドリップと定期的なpingでストリームを開いたまま保持します；サーバーが接続を閉じた場合、自動的に再接続して繰り返します。
• Ctrl+C / SIGTERM を送信したときにのみ停止します — それに応じてテストウィンドウを計画し、標的のメモリをリアルタイムで監視してください。
• 推奨：許可された本番テストの前に、まず低い --streams/--headers でステージング/ラボ環境に対して検証し、いずれにせよ標的サービスのロールバック/再起動計画を準備してください。

7a. RAMプレッシャー推定

このツールの2つのモードのサーバー側メモリの概算式（Apache mod_http2 のみ — nginx/classic が増幅率にどう対応するかはセクション1を参照）：

threads/streams/headers を増やせば数値は線形に増加します — これが、本番スコープの実行前に許可されたラボテストを低く始めるべき理由です（セクション7を参照）。

7b. 技術的詳細

これは、この特定のPoCがApache mod_http2 に対して実装する機構を文書化したものです — 他のサーバー実装には拡張されません。それらはこのリポジトリの範囲外です（セクション2を参照）。

HPACK動的テーブルシード（インクリメンタルインデックス、インデックス62にエントリを追加）：

そのエントリへのインデックス参照（各1バイト、--headers 回繰り返し）：

接続あたりのHTTP/2フレームシーケンス：

ワイヤコストは小さく、ストリームあたりほぼ固定です（シードに数バイト + 参照あたり1バイト）；サーバー側の割り当てが不釣り合いに増大するものです — そのギャップが脆弱性です。

7c. 出力例

許可されたラボ実行の出力、classic モード、20接続 × 30ストリーム/接続、5000 HPACK参照/ストリーム、proxychains経由でルーティング：

各接続は、ストリームを開く際に自身のローカルRAM寄与を独立して報告します（これらの設定で接続あたり約572 MB）；プリフライトの Est. server RAM 数値は、すべての接続が完全に開いて保持された時点での全20接続の集計です（約11.4 GB）。

上記の domain.com はプレースホルダーです — 自身の実行を文書化する際は、実際の許可された標的に置き換え、エンゲージメントが機密である場合は伏せてください。

8. 修復

• Apache HTTP Server: httpd 2.4.68以降にアップグレードしてください（これが修正を含むリリースです）。
• 即時のパッチ適用が不可能な場合：
  • LimitRequestFields を保守的に設定し、ヘッダーマージ動作を監視します。
  • パッチ適用まで、影響を受けるリスナーでHTTP/2を無効化することを検討します。
  • ハードなヘッダー数上限を強制するリバースプロキシ/WAFでサービスを前面に配置します。
• 修復後に再テストし、保持・解放動作がもはや持続的なメモリ増加を引き起こさないことを確認します。

9. クレジット / 帰属

元の脆弱性の発見とApacheへの開示（このリポジトリやその著者とは無関係）：

• Quang Luong、Calif.IO、OpenAI Codexとの協力
• 2026-05-26にApache HTTP Server Projectへ報告；公式クレジット行は2.4.68変更履歴に掲載

このリポジトリ（Go再実装、公開修正が着地した後に作成・テスト）：

• 著者: naheeju
• 公開された脆弱性の説明とパッチ差分から構築された独立したPoC。許可された標的に対する検証/教育目的。元の発見、Calif.IO、Apache Security Teamとは提携していません。

この特定のPoCに関する質問、訂正、または責任ある開示に関連する懸念：このリポジトリでissueを開いてください。

ライセンス: MIT（このリポジトリのコードのみ — LICENSE を参照）。元の発見者やApache Software Foundationには拡張されず、それらによる承認を暗示するものでもありません。