• 漏洞编号：CVE-2026-49975
• 漏洞等级：严重
• 漏洞标签：奇安信CERT验证、技术细节公开、影响十万级、关键漏洞
• 发布时间：2026-06-03

漏洞描述

nginx 是一款高性能的轻量级 Web 服务器和反向代理服务器，广泛用于处理高并发请求、负载均衡和静态资源服务。它支持 HTTP/2 协议，能够高效处理大量同时连接，在互联网基础设施中占据重要份额。Apache httpd 是经典的开源 Web 服务器，提供模块化架构和强大的扩展能力，支持多种协议和配置方式。Microsoft IIS 是 Windows 生态中的企业级 Web 服务器，集成在 Windows Server 中，常用于 .NET 应用托管。Envoy 是高性能的云原生边缘代理和 Service Mesh 数据平面，Cloudflare Pingora 是 Cloudflare 自研的高性能 Rust 实现 Web 服务器。这些产品共同构成了当今互联网大部分 Web 流量的后端基础设施。 HTTP/2 Bomb 拒绝服务漏洞存在于上述主流 Web 服务器的默认 HTTP/2 配置中。该漏洞产生的原因是 HPACK 头部压缩机制与 HTTP/2 流控窗口机制的组合缺陷，未对每请求头部字段数量（包括 Cookie 分片）进行严格限制。该漏洞源于服务器在处理大量 HPACK...

修复建议

暂无

参考链接

https://ti.qianxin.com/vulnerability/detail/465944