Уязвимость BDU:2026-07789 (CVE-2026-49975) в Apache HTTP Server

Уязвимость BDU:2026-07789 (CVE-2026-49975) типа «отказ в обслуживании» (DoS) в реализации протокола HTTP/2 в Apache HTTP Server, которая затрагивает популярные веб-сервера и прокси. Она позволяет удалённому злоумышленнику быстро исчерпать память сервера, что приводит к его недоступности.

Уязвимые версии:

• Apache HTTP Server от 2.4.17 до 2.4.67
• Windows Server 2025
• Pingora
• nginx до 1.29.8
• Envoy
• Microsoft IIS

Уровень опасности: 7.5 Высокий

Расшифровка вектора:

• AV:N — Вектор атаки: Сетевой
• AC:L — Сложность атаки: Низкая
• PR:N — Уровень привилегий: Не требуется
• UI:N — Взаимодействие с пользователем: Не требуется
• S:U — Влияние на другие компоненты системы: Не оказывает
• C:N — Влияние на конфиденциальность: Не оказывает
• I:N — Влияние на целостность: Не оказывает
• A:H — Влияние на доступность: Высокое

Условия эксплуатации:

1. Уязвимая версия серверного ПО с поддержкой HTTP/2 (Apache httpd, nginx, IIS, Envoy, Pingora или аналоги) 🔒🔒🔒
2. Включён и доступен 🔒🔒🔒
3. Серверный процесс 🔒🔒🔒.

Устраняется 🔒🔒🔒.

Proof of concept для данной уязвимости (🔒🔒🔒).

🔒 Условия эксплуатации и ссылки на эксплоиты — только в закрытом канале

На блоге: CVE, CVSS, вектор атаки — информация из открытых источников.

В канале: уникальный анализ, который позволяет:

• Понять, применима ли уязвимость к вашим системам
• Получить ссылки на эксплоиты для проверки своих систем
• Еженедельно получать разборы новых уязвимостей

Подробнее о канале → | Пример разбора