Exploitation observed; activity peaked at 10 mentions and remains active
Recommended action window: Immediate (within 24h)
NVD description
Memory Allocation with Excessive Size Value vulnerability in Apache HTTP Server's mod_http leads to denial of service via malicious HTTP requests. This issue affects Apache HTTP Server: from 2.4.17 through 2.4.67.
Priority
CRITICAL
Exploitation
ACTIVE
PoC
YES
Patch
AVAILABLE
Momentum
DECLINING
If you run products in this scope, you should treat this CVE as relevant to your environment.
1 version affected across 2 products
| Date | Total | Labels |
|---|
| 2026-06-03 | 7 | Active Exploitation1Disclosure3Exploit1Patch2 |
| 2026-06-04 | 9 | Disclosure1Exploit1General2Patch4PoC1 |
| 2026-06-05 | 10 | Active Exploitation1Disclosure3General2Patch4 |
| 2026-06-06 | 9 | Active Exploitation1Disclosure6General1PoC1 |
| 2026-06-07 | 10 | Disclosure3General5Patch1PoC1 |
| 2026-06-08 | 7 | Disclosure1Disclousre1General2Patch2PoC1 |
| 2026-06-09 | 5 | Disclosure2Patch2PoC1 |
| 2026-06-10 | 2 | Patch2 |
| 2026-06-11 | 1 | Patch1 |
| 2026-06-12 | 2 | Disclosure1Patch1 |
| 2026-06-13 | 1 | Patch1 |
| 2026-06-15 | 1 | Patch1 |
| 2026-06-16 | 2 | Disclosure1General1 |
| 2026-06-17 | 2 | Disclosure1General1 |
| 2026-06-18 | 6 | Disclosure1Exploit1General1Patch1PoC2 |
| 2026-06-19 | 1 | General1 |
| 2026-06-20 | 1 | General1 |
| 2026-06-24 | 1 | General1 |
| 2026-06-25 | 2 | General1Patch1 |
| 2026-06-26 | 2 | General1PoC1 |
| 2026-06-28 | 1 | Disclosure1 |
| 2026-07-12 | 4 | Disclosure1PoC3 |
| 2026-07-13 | 1 | Patch1 |
| 2026-08-13 | 1 | Patch1 |
| 2026-08-22 | 1 | General1 |
| 2026-09-17 | 1 | Disclosure1 |
CVE-2026-49975「HTTP/2 Bomb」をわかりやすく解説——AIが人間より先に気づいた脆弱性 https://qiita.com/long-910/items/76779fc1d8602dab73b3 #Qiita
Post summary
The post links to a Qiita article that explains CVE‑2026‑49975, but it provides no evidence of a PoC, exploit code, active exploitation, patch, or technical details.
PoC Exploit Released for HTTP/2 Bomb Remote DoS Vulnerability in Apache HTTP Server Source: https://cybersecuritynews.com/http-2-bomb-dos-apache/ A proof-of-concept (PoC) exploit has been publicly released for a critical Denial of Service vulnerability in Apache HTTP Server, tracked as CVE-2026-49975, dubbed the "HTTP/2 Bomb." The flaw allows remote attackers to exhaust server memory and disrupt services without authentication, posing a significant risk to organizations running unpatched Apache deployments. The publicly released PoC, available on GitHub, demonstrates the attack using a Python-based exploit script. The attack is reproducible in a Dockerized environment, where the server is containerized with an 8 GB memory limit. Upgrade immediately to Apache HTTP Server 2.4.68 or later. #cybersecuritynews
Post summary
A publicly available PoC exploit script in Python has been released on GitHub for CVE‑2026‑49975, a critical DoS vulnerability in Apache HTTP Server that allows remote memory exhaustion without authentication; operators should upgrade to v2.4.68 or later to mitigate.
Publicado exploit PoC para vulnerabilidad DoS de HTTP/2 en Apache HTTP Server Se ha publicado un exploit de prueba de concepto (PoC) para una vulnerabilidad crítica de Denegación de Servicio (DoS) en el servidor Apache HTTP CVE-2026-49975 "HTTP/2 Bomb https://blog.elhacker.net/2026/06/publicado-exploit-poc-para.html
Post summary
A proof‑of‑concept exploit for the critical DoS vulnerability CVE‑2026‑49975 (HTTP/2 Bomb) in Apache HTTP Server has been published, but there is no indication of in‑the‑wild exploitation or a patch.
【エックスサーバー/XServerビジネス/XServerショップ/XServerドライブ/XServer for WordPress】 このたび、当サービスで利用しているHTTP/2通信に関して、外部からの攻撃によりサービス停止を引き起こすおそれのある脆弱性（CVE-2026-49975）が公表されました。 当サービスにおける本脆弱性の影響は確認しておりませんが、Webサイトを安全にご利用いただくための暫定的な対策として、対象サーバーにおけるHTTP/2を一時的に無効化し、HTTP/1.1での通信へ切り替える対応を実施いたしました。 本対応により、一部の環境においてWebページの表示にわずかな遅延が生じる場合がありますが、Webサイトの閲覧や各種機能のご利用に支障はありません。 恒久的な対策の準備が整い次第、速やかにHTTP/2を再度有効化する予定です。 お客様には大変ご迷惑をおかけいたしますが、安全なサービス提供を最優先とした対応となりますので、何卒ご理解とご協力を賜りますようお願い申し上げます。 https://www.xserver.ne.jp/news_detail.php?view_id=18588
Post summary
XServer announced that CVE‑2026‑49975, a vulnerability affecting HTTP/2, is under disclosure. They have temporarily disabled HTTP/2 as a workaround while preparing a permanent patch.
HTTP/2 Bomb : la CVE-2026-49975 affecte Apache HTTP Server v2.4.17 à 2.4.67 et est due à un problème d'allocation excessive de mémoire lors du traitement de certaines requêtes HTTP. Merci à nos camarades d'Evolix qui nous en ont parlé il y a quelques jours ! 👉 https://nvd.nist.gov/vuln/detail/CVE-2026-49975
Post summary
The text provides basic disclosure details for CVE‑2026‑49975, describing its effect on Apache HTTP Server 2.4.17‑2.4.67 via excessive memory allocation without mentioning PoC, exploits, or patches.
【自分用メモ】CVE-2026-49975「HTTP/2 Bomb」をわかりやすく解説——AIが人間より先に気づいた脆弱性 #Security - Qiita https://qiita.com/long-910/items/76779fc1d8602dab73b3
Post summary
The memo explains the CVE-2026-49975 "HTTP/2 Bomb" but does not provide a PoC, exploit, active exploitation evidence, patch, or debunking claim.
Hop, un article d'Haproxy qui nous explique comment il limite naturellement les risque de HTTP/2 Bomb grâce à son architecture : il impose des contraintes mémoire strictes par connexion. 👉 https://www.haproxy.com/blog/haproxy-cve-2026-49975-http2-bomb https://t.co/cXBRZQeAfM
Post summary
The tweet links to an HAProxy article explaining how the product’s architecture limits the risk of a HTTP/2 bomb, noting per-connection memory constraints as a mitigation.
【スターレンタルサーバー】 このたび、当サービスで利用しているHTTP/2通信に関して、外部からの攻撃によりサービス停止を引き起こすおそれのある脆弱性（CVE-2026-49975）が公表されました。 当サービスにおける本脆弱性の影響は確認しておりませんが、Webサイトを安全にご利用いただくための暫定的な対策として、対象サーバーにおけるHTTP/2を一時的に無効化し、HTTP/1.1での通信へ切り替える対応を実施いたしました。 本対応により、一部の環境においてWebページの表示にわずかな遅延が生じる場合がありますが、Webサイトの閲覧や各種機能のご利用に支障はありません。 恒久的な対策の準備が整い次第、速やかにHTTP/2を再度有効化する予定です。 お客様には大変ご迷惑をおかけいたしますが、安全なサービス提供を最優先とした対応となりますので、何卒ご理解とご協力を賜りますようお願い申し上げます。 https://www.star.ne.jp/news/detail.php?view_id=14348
Post summary
An advisory was issued for CVE-2026-49975 affecting HTTP/2, noting the vulnerability could cause service interruption. A temporary workaround—disabling HTTP/2 and switching to HTTP/1.1—was implemented without evidence of active exploitation or detailed technical data.
Everyone's racing to patch Apache httpd for the "HTTP/2 Bomb" (CVE-2026-49975). While you're at it: the same 2.4.68 release quietly shipped 4 MORE security fixes — and not one of them got a CVE. 🧵
Post summary
The tweet urges rapid patching of Apache httpd 2.4.68 to mitigate CVE‑2026‑49975, while noting that the release includes additional fixes with no CVE identifiers.
🚨Upozorňujeme na zranitelnost v HTTP/2 implementacích NGINX, Apache HTTPD, Microsoft IIS, Envoy, Cloudflare Pingora, CVE-2026-49975. Zranitelnost označovaná jako HTTP/2 Bomb umožňuje vzdálený útok typu denial-of-service (DoS) zneužitím výchozího nastavení HTTP/2. Útočník dokáže velmi malým množstvím odeslaných dat přimět server k opakovanému přidělování paměti a zároveň zabránit jejímu uvolnění, čímž vzniká výrazný nepoměr mezi zatížením útočníka a serveru. Důsledkem je rychlé vyčerpání dostupné paměti a znepřístupnění služby, přičemž i jeden klient může během několika sekund spotřebovat desítky GB RAM. Podmínkou zneužití je povolený HTTP/2 v běžné konfiguraci bez omezení využití prostředků. Opravy jsou dostupné v NGINX 1.29.8+ a Apache HTTPD mod_http2 v2.0.41, pro Microsoft IIS, Envoy a Cloudflare Pingora zatím opravy nejsou dostupné. 📌Doporučujeme aktualizovat NGINX na verzi 1.29.8+ a Apache HTTPD mod_http2 na verzi 2.0.41, případně dočasně vypnout HTTP/2 na neaktualizovaných systémech.
Post summary
The post details CVE‑2026‑49975 as a DoS flaw in HTTP/2 implementations, provides specific patch versions for NGINX and Apache, and recommends disabling HTTP/2 on unpatched systems.
CVE-2026-49975「HTTP/2 Bomb」をわかりやすく解説——AIが人間より先に気づいた脆弱性 http://dlvr.it/TSvzKx #Qiita
Post summary
The tweet points to a Qiita article explaining CVE-2026-49975 (an "HTTP/2 Bomb" vulnerability discovered by AI) but provides no details on exploitation, patching, or technical specifics.
マ？！ > 本脆弱性への暫定対策として、お名前.comでは対象サーバーにおけるHTTP/2を一時的に無効化し、 HTTP/1.1での通信への切り替えを実施いたしました。 // "【重要】【お知らせ】脆弱性(CVE-2026-49975)に伴うWebサーバー通信設定の一時変更について" https://www.onamae.com/news/article/11434
Post summary
The message announces a temporary mitigation for CVE-2026-49975 by disabling HTTP/2 and switching to HTTP/1.1, indicating a patch or workaround has been applied.
أُُطلق كود استغلال علني لثغرة حجب خدمة خطيرة في خادم أباتشي HTTP Server تحمل المعرف CVE-2026-49975، والمعروفة باسم HTTP/2 Bomb، ما يزيد من خطر استهداف الخوادم غير المحدثة. 📌 للتفاصيل الكاملة: 🔗 https://www.instagram.com/p/DZuvBi1oGvx/?igsh=MmxpN2M4cTJnY2Zl #apache #vulnerability https://t.co/F3FMsyQZ2o
Post summary
A public exploit code for CVE‑2026‑49975, known as the HTTP/2 Bomb vulnerability in Apache HTTP Server, has been released with a hyperlink for further details, but no evidence of active exploitation or patch updates is provided.
HAProxy's architecture enforces strict memory constraints per connection and stream, preventing the memory inflation that the HTTP/2 Bomb vulnerability depends on entirely. This means HAProxy users remain protected when critical vulnerabilities like CVE-2026-49975 are disclosed, without any configuration changes required. Learn more: https://hubs.la/Q04lxhJZ0
Post summary
The post asserts that HAProxy’s architectural constraints prevent exploitation of CVE‑2026‑49975 without configuration changes, but it offers no PoC, exploit details, patch information, or technical specifics.
Movable Type クラウド版において、Apache（Webサーバー）における脆弱性 CVE-2026-49975（HTTP/2 Bomb）への対応と、Perl および PHP のアップデートを行いました。詳細はニュースをご確認ください。 https://www.sixapart.jp/movabletype/news/2026/06/11-1000.html
Post summary
Movable Type Cloud addressed CVE‑2026‑49975 (an HTTP/2 Bomb) by updating Apache, Perl, and PHP, and directed users to a news article for more details.
SIOSセキュリティブログを更新しました。 Apacheの脆弱性(Moderate: CVE-2026-34355, CVE-2026-42535, CVE-2026-43951, CVE-2026-44119, CVE-2026-44186, CVE-2026-49975, Low:複数)と2.4.68リリース #sios_tech #security #vulnerability #セキュリティ #脆弱性 #apache https://security.sios.jp/vulnerability/apache-security-vulnerability-20260609/
Post summary
The post is a blog update announcing several moderate‑to‑low severity Apache CVEs and the release of Apache 2.4.68, implying that the new release contains patches for these vulnerabilities.
「ERR_HTTP2_PROTOCOL_ERROR」コレ吐いているから、HTTP/2を無効化している可能性がある。 最近、そのプロトコルは脆弱性（CVE-2026-49975）が発見されたからな。
Post summary
The post merely states that CVE-2026-49975, a vulnerability in HTTP/2, has been discovered, without providing technical details, exploitation info, or mitigation steps.
AIに、http/2の脆弱性教えてもらった。 まさに今週（2026年6月第1週）、**「HTTP/2 Bomb」（CVE-2026-49975）**というかなり深刻な脆弱性が公表されて、サーバー界隈で大きな話題と対応に追われる事態になっています！ 現時点で「この脆弱性を突かれて大規模なサーバーダウンが発生した」という実害の報告はまだ見当たりませんが、すでに**日本の大手レンタルサーバー各社が「緊急の予防措置」を取る形で影響が出ている**状態です。 今の状況をざっくりまとめると以下のようになります。 ### 🚨 今週起きている身近な「影響」 国内の大手ホスティングサービスが、攻撃を未然に防ぐために**「サーバーのHTTP/2を一時的に無効化して、HTTP/1.1に切り替える」**という緊急対応を相次いで行っています。 * **さくらインターネット**（6月4日に緊急メンテナンスを実施し無効化） * **エックスサーバー**（6月5日に一時変更を発表） * **お名前.com**（6月4日に一時変更を発表） Webサイトの表示や機能自体に問題は出ませんが、HTTP/1.1にフォールバックしている影響で、**「なんか今週、自分のサイトやよく見るサイトの読み込みが少し遅い気がする…」**という形で、ユーザー側にも地味な影響が出ている可能性があります。 ### 💥 「HTTP/2 Bomb」は何が危険なのか？ セキュリティ企業「Calif」がAI（OpenAIのCodex）を利用して発見した新しい攻撃手法で、既存の2つの技術（HPACK圧縮の悪用＋Slowloris型の通信保持）を組み合わせた強力なDoS（サービス拒否）攻撃です。 * **瞬殺される:** 一般家庭の100Mbps回線からパソコン1台で攻撃するだけで、数秒でサーバーのメモリ（最大32GBほど）を食いつぶしてダウンさせられます。 * **対象が広すぎる:** NGINX、Apache、Microsoft IIS、Envoy、Cloudflare Pingoraなど、主要なWebサーバーの「デフォルト設定」がそのまま標的になります（世界で88万件以上のサーバーが該当すると言われています）。 * **PoC（実証コード）が公開済み:** 6月2日時点で攻撃用のスクリプトがGitHubなどに公開されてしまっているため、誰でも簡単に攻撃を試せてしまう危険な状態です。 ### 🎯 これから被害が出そうな所は？ NGINXやApacheはすでに修正パッチをリリースしているため、パッチを当てたサーバーや、国内ホスティングサービスのように一時的にHTTP/2を無効化したサーバーはとりあえず安心です。 しかし、**「とりあえずデフォルト設定で動かしていて、ニュースも見ておらずパッチも当てていない放置気味のサーバー」**は非常に危険です。特に修正状況が不透明な環境（Microsoft IISやEnvoyなど）を自社運用している企業などは、今週末から来週にかけて公開済みの実証コードを使った攻撃の的になり、突然サーバーが落ちるなどの実害が出る可能性が十分にあります。 もしご自身でWebサーバーを管理している環境があれば、早急にパッチの適用状況を確認するか、一時的にHTTP/2をオフにする暫定対応をしておくことをおすすめします！
Post summary
CVE‑2026‑49975, a DoS vulnerability in HTTP/2, was disclosed with a PoC code released on GitHub and patches now issued for major web servers; however no confirmed live exploitation is reported yet.
Fortinet patched eight flaws across FortiWeb, FortiManager, FortiClient, FortiOS, and FortiSIEM, including auth issues in FortiWeb and FortiManager. Guidance also issued on Apache HTTP Server CVE-2026-49975. #FortiWeb #FortiManager #ApacheHTTPServer https://www.hendryadrian.com/fortinet-patches-authentication-flaws-in-fortiweb-and-fortimanager/ https://t.co/B3JDiH1W4C
Post summary
Fortinet has released patches for eight vulnerabilities affecting FortiWeb, FortiManager, FortiClient, FortiOS, and FortiSIEM, specifically addressing authentication issues, and has also issued guidance for Apache HTTP Server CVE‑2026‑49975.
CVE-2026-49975. 0day Intel: ⚠️CVE-2026-49975 (CVSS 7.5)⚠️ Critical HTTP/2 Bomb Denial-of-Service vulnerabili
Post summary
The announcement discloses CVE‑2026‑49975, an HTTP/2 bomb‑denial‑of‑service vulnerability with a CVSS score of 7.5, but provides no proof‑of‑concept, exploit code, or patch details.
2 of 2 entries
| Part | Vendor | Product | Version | Target SW | Target HW |
|---|---|---|---|---|---|
| App | apache | http_server | - | - | - |
| OS | debian | debian_linux | 11.0 | - | - |