Imaginez : un hacker depuis chez lui, avec une simple connexion internet à 100 Mbps, met hors ligne votre serveur web en moins de 20 secondes. Sans mot de passe volé. Sans logiciel sophistiqué. C’est exactement ce que permet la faille HTTP/2 Bomb — identifiée officiellement le 3 juin 2026 sous le code CVE-2026-49975. Plus de 880 000 serveurs exposés sur internet dès le premier jour.
Voici pourquoi ça vous concerne, même si vous n’êtes pas informaticien.
Qu’est-ce que la faille HTTP/2 Bomb ?
HTTP/2 est le protocole qui fait circuler les données entre votre navigateur et les sites web. Il est conçu pour être rapide. En effet, il compresse les informations envoyées afin de réduire le trafic. Mais cette compression cache un piège redoutable.
La HTTP/2 Bomb exploite un mécanisme appelé HPACK — la méthode de compression des en-têtes HTTP/2. Concrètement, l’attaquant envoie un tout petit message. Le serveur, lui, doit allouer des centaines de fois plus de mémoire pour le traiter. Autrement dit, un octet sur le réseau devient des milliers d’octets en RAM côté serveur.
Ensuite, une seconde technique entre en jeu. L’attaquant bloque la fenêtre de contrôle du flux réseau à zéro. Résultat : le serveur ne peut jamais libérer cette mémoire. Par conséquent, la RAM se remplit, s’épuise, et le serveur s’effondre. C’est brutal. Et ça marche sur la configuration par défaut de la plupart des serveurs.
Qui est vraiment touché par cette attaque ?
Cette vulnérabilité ne touche pas un serveur obscur utilisé par quelques entreprises. Neamoins, elle frappe les piliers d’internet. Voici les serveurs confirmés vulnérables :
- NGINX — le serveur web le plus utilisé au monde
- Apache HTTPD — présent sur des millions de sites depuis 30 ans
- Microsoft IIS — le serveur de tous les environnements Windows Server
- Envoy — utilisé massivement dans les architectures cloud modernes
- Cloudflare Pingora — le proxy de l’un des plus grands CDN mondiaux
Un scan Shodan réalisé le jour de la divulgation a confirmé plus de 880 000 serveurs publics exposés. Parmi eux, des hôpitaux, des administrations, des banques, des e-commerces. De plus, IIS, Envoy et Pingora ne disposaient d’aucun patch au moment de la publication.
Qui est derrière la découverte de HTTP/2 Bomb ?
C’est la société de recherche en sécurité Calif qui a découvert et rendu publique cette vulnérabilité. Fait surprenant : la faille a été identifiée à l’aide d’OpenAI Codex, un outil d’intelligence artificielle. Ainsi, une IA a trouvé ce que des années d’audits humains avaient raté.
Calif a respecté une divulgation responsable. L’équipe a prévenu Apache le 27 mai 2026 — Stefan Eissing a corrigé le bug le jour même. NGINX avait déjà publié un correctif en avril. En revanche, Microsoft, Envoy et Cloudflare n’avaient toujours pas de patch lors de la publication officielle. Pour consulter le rapport complet, le bulletin technique est disponible sur oss-sec.
Pourquoi la HTTP/2 Bomb est un signal d’alarme majeur
Ce qui rend cette faille particulièrement inquiétante, c’est sa simplicité d’exécution. Pas besoin d’être un hacker expert. Un ordinateur portable et une connexion fibre suffisent pour paralyser un serveur d’entreprise. C’est pourquoi les experts parlent d’une démocratisation des attaques par déni de service.
Par ailleurs, la découverte via une IA change la donne. Si Codex a trouvé cette faille, d’autres outils similaires en trouveront d’autres. Néanmoins, les défenseurs peuvent aussi utiliser ces mêmes outils pour anticiper les menaces. La course entre attaquants et défenseurs vient de changer de vitesse.
Comment se protéger contre la HTTP/2 Bomb
Si vous gérez un serveur ou un site web, voici les actions concrètes à mener immédiatement :
- Mettez à jour NGINX vers la version 1.29.8 ou supérieure — elle intègre la directive max_headers limitant le nombre d’en-têtes par requête.
- Mettez à jour Apache HTTPD — le correctif est dans mod_http2 v2.0.41. En attendant, désactivez HTTP/2 avec Protocols http/1.1.
- Désactivez HTTP/2 si vous ne pouvez pas mettre à jour immédiatement — c’est la mitigation d’urgence recommandée par les chercheurs.
- Vérifiez votre exposition — si vous utilisez IIS, Envoy ou Cloudflare Pingora, aucun patch n’est encore disponible. Surveillez les bulletins de sécurité de vos éditeurs.
- Activez la surveillance des ressources — un pic anormal de consommation RAM peut signaler une tentative d’exploitation active.
La sécurité n’est pas une destination. C’est un processus continu. Ainsi, maintenir ses logiciels à jour reste la première ligne de défense — et souvent la plus efficace.
Et demain ? Ce que la HTTP/2 Bomb nous dit sur l’avenir
Une faille trouvée par une IA. Des serveurs vulnérables depuis des années sans que personne ne s’en aperçoive. C’est le visage de la cybersécurité en 2026. Pourtant, c’est aussi une opportunité : les mêmes outils qui permettent aux attaquants d’aller plus vite peuvent servir à protéger plus efficacement.
La question n’est plus « est-ce que mon serveur sera ciblé ? ». C’est « quand ? » — et surtout, « serai-je prêt ? ». Pour approfondir sur les attaques par déni de service et les bonnes pratiques, consultez notre dossier complet sur le piratage d’instagram via l’IA META.