HTTP/2 Bomb — CVE-2026-49975 · Full Disclosure · 8 giugno 2026

Una vulnerabilità di denial-of-service recentemente divulgata, nota come HTTP/2 Bomb (CVE-2026-49975), interessa molteplici implementazioni di server web.

CVE-2026-49975, nota anche come HTTP/2 Bomb, è un exploit di denial-of-service remoto contro la maggior parte dei principali server web, tra cui nginx, Apache httpd, Microsoft IIS, Envoy e Cloudflare Pingora.

Il comportamento vulnerabile è presente nella configurazione HTTP/2 predefinita di ciascun server. Questo problema potrebbe consentire a un utente malintenzionato remoto di consumare risorse di sistema eccessive quando l’HTTP/2 è abilitato, causando potenzialmente il degrado del servizio o l’indisponibilità temporanea.

A seguito della divulgazione della vulnerabilità, abbiamo rilasciato un hotfix di sicurezza per proteggere le installazioni dei clienti. Questo post fornisce il background tecnico completo e un resoconto esaustivo della nostra risposta.

Cos’è l’HTTP/2 Bomb?

L’attacco concatena due funzionalità del protocollo HTTP/2 – la compressione degli header HPACK e le finestre di controllo del flusso (flow-control windows) – per esaurire la memoria del server utilizzando una singola connessione e senza richiedere alcuna autenticazione.

Un singolo byte trasmesso può tradursi in migliaia di byte allocati sul server, mantenuti aperti indefinitamente tramite aggiornamenti periodici “zero-window” da parte dell’attaccante. Una singola macchina su una normale connessione Internet può rendere inaccessibile un server vulnerabile nel giro di pochi secondi.

nginx ha risolto il problema nella versione 1.29.8 introducendo un limite max_headers. La correzione è stata rilasciata ad aprile 2025 ma senza l’assegnazione formale di un CVE, il che ha ritardato il suo inserimento nei tracker di sicurezza delle distribuzioni.

Cronologia della nostra risposta

Data / Ora (UTC) Evento
2 giugno 2026 — 19:36 Pubblicazione di CVE-2026-49975 (HTTP/2 Bomb)
3 giugno 2026 — 06:52 ET Pubblicazione dell’analisi tecnica dettagliata da parte di Calif che descrive la catena dell’exploit
3 giugno 2026 — 14:30 3CX invia un’e-mail ai manutentori della sicurezza di Debian richiedendo la tempistica per la patch
4 giugno 2026 Decisione di 3CX: incorporare nginx direttamente nel processo di compilazione e aggiornamento di 3CX, aggirando la dipendenza dal packaging di Debian.
5 giugno 2026 Rilasciato l’hotfix di sicurezza per Windows e Linux. Le istanze ospitate (Hosted) sono state aggiornate centralmente.
8 giugno 2026 Debian ha inserito l’hotfix di nginx nei repository debian

Perché abbiamo incorporare nginx

Le distribuzioni Linux di 3CX si sono storicamente affidate alla versione di nginx inclusa nei pacchetti Debian. Quando questa vulnerabilità è stata divulgata, la versione corretta (nginx 1.29.8) non era disponibile nei repository Debian Bookworm o Trixie.

Invece di affidarci a una tempistica di packaging esterna al di fuori del nostro controllo, abbiamo scelto di incorporare nginx direttamente nel processo di installazione e aggiornamento di 3CX. Questo ci dà il pieno controllo sulla versione di nginx distribuita con 3CX, ci consente di rispondere a future vulnerabilità senza attendere i manutentori della distribuzione e garantisce che tutte le piattaforme supportate ricevano le correzioni contemporaneamente.

Se in futuro Debian pubblicherà un pacchetto nginx corretto, valuteremo se tornare all’approccio basato sui pacchetti della distribuzione o continuare con il modello incorporato.

AGGIORNAMENTO: Sembra che Debian stia rilasciando un aggiornamento che risolve questa vulnerabilità. Tuttavia, in questa fase manterremo la nostra versione personalizzata di NGINX. Questa versione è stata ulteriormente alleggerita e, in caso di future vulnerabilità, ci consentirà di fornire una risposta immediata.

Aggiornamenti al meccanismo di aggiornamento della sicurezza

Nell’update 10 abbiamo pianificato di introdurre funzionalità di aggiornamento della sicurezza più granulari. Maggiori informazioni a seguire.

Chi è interessato e quale azione è richiesta?

Azione richiesta

  • Se utilizzi un sistema on-premise o cloud con nginx accessibile pubblicamente da Internet, sei potenzialmente vulnerabile. Applica l’hotfix tramite Sistema > Aggiornamenti nella Console di Amministrazione se non lo hai già fatto.

Nessuna azione immediata richiesta

  • Se il tuo sistema è Hosted by 3CX (Ospitato), non è richiesta alcuna azione da parte del cliente. La correzione è stata applicata centralmente prima della divulgazione pubblica di questo post.
  • Sistemi on-premise o cloud dietro un firewall, con nginx non esposto pubblicamente: non raggiungibili dall’esterno. Nessuna azione immediata richiesta. Aggiorna durante la prossima finestra di manutenzione.

Valuta un Partner 3CX o il servizio 3CX Hosted

Internet è pieno di minacce alla sicurezza che richiedono un monitoraggio costante e aggiornamenti frequenti. Se non hai la capacità di gestire tutto questo, è il momento di ripensare la tua strategia e valutare la collaborazione con un Partner 3CX e/o il passaggio a 3CX Hosted.

Come minimo, consigliamo di iscriversi alle novità 3CX tramite la nostra pagina del blog, dove continueremo a pubblicare aggiornamenti importanti. Le e-mail importanti relative al sistema, alla sicurezza e alle licenze vengono inviate automaticamente all’indirizzo e-mail associato all’installazione di 3CX. Queste e-mail sono fondamentali e non è prevista l’opzione di disiscrizione. Per essere sicuro di riceverle, assicurati che le e-mail provenienti da 3CX non vengano bloccate dal tuo server di posta, dai filtri antispam o dai software di sicurezza, in modo che non finiscano nella cartella della posta indesiderata o spam.

Puoi anche seguire i nostri Forum dedicati ai Partner e ai Clienti, o i canali social X e LinkedIn per gli ultimi annunci.